malware-ul care fură cheile cloud prin tokeni GitHub

Cum se ascunde Gheist de securitate?

Un atac persistent de tip supply chain, cunoscut sub numele Gheist, furează activ credentiale cloud de la mii de dezvoltatori. Malware-ul țintește tokenii de acces personal GitHub.

Folosește acești tokeni pentru a accesa depozite private și medii cloud. Operația acoperă mai multe regiuni și a durat săptămâni întregi.

Atacul începe când dezvoltatorii lipesc tokenii lor GitHub în scripturi malițioase.

Gheist folosește apoi acești tokeni pentru a ajunge la bidoanele de stocare cloud și bazele de date. Exfiltrează chei API, variabile de mediu și cod sursă. Malware-ul funcționează tăcut în fundal.

Evită detectarea imitând unelte de dezvoltare legitime.

Malware-ul se camuflează ca o unealtă standard de dezvoltare. Rulează în mediul shell al utilizatorului.

Astfel accesează secretele locale fără să declanșeze detectarea pe endpoint. Unealta scanează fișierele. env și fișierele de configurare cloud. Încarcă datele furate pe serveri controlați de atacator.

De ce sunt vulnerabili dezvoltatorii?

Echipele de securitate raportează că malware-ul folosește canale criptate pentru a ascunde comunicarea.

Dezvoltatorii stochează adesea tokenii în fișiere de configurare în text simplu.

Reutilizează același token în mai multe proiecte. Aceasta creează un punct unic de eșec. Când un token e compromis, toate resursele legate sunt expuse.

Atacul exploatează această practică comună. Transformă un singur token furat într-o poartă către întreaga infrastructură cloud.

Incidentul a afectat deja companii mari de tehnologie.

Furnizorii cloud se grăiesc să roteze cheile afectate. Dezvoltatorii sunt sfătuiți să revoce orice token folosit într-un depozit compromis. Incidentul evideniază fragilitatea autentificării bazate pe tokeni.

Întrebări frecvente!

Apărările viitoare trebuie să se concentreze pe tokeni cu viață scurtă și permisiuni cu scop limitat.

Cum furează Gheist tokenii GitHub?

Malware-ul scanează fișierele mașinii locale pentru tokeni stocați în text simplu. Folosește apoi acești tokeni pentru a accesa depozite private și resurse cloud.

Ce trebuie să facă dezvoltatorii dacă tokenul lor e compromis?

Revocați tokenul imediat în setările GitHub. Rotați toate credentialele cloud legate de acel token.

De cât timp e activ atacul Gheist?

Operația a durat mai multe săptămâni. Continuă să culege credentiale de la o listă tot mai mare de dezvoltatori afectați.