Spektakulärer Beutezug durch tausende Quellcodes auf GitHub

Im Rahmen einer groß angelegten Angriffskampagne namens "wfx-loot" wurden Tausende GitHub-Repositories kompromittiert. Angreifer nutzten die Konten, um Malware in Quellcodes einzuschleusen und Zugangsdaten für Entwicklerumgebungen sowie Cloud-Dienste abzugreifen.

Tausende Accounts betroffen

Sicherheitsforscher konnten den Diebstahl von Login-Informationen aus mindestens 1835 betroffenen Projekten nachweisen. Die Sicherheitsfirma Aikido berichtet, dass die Kampagne am 10. November gegen 12:45 Uhr UTC begann. Dabei setzten die Angreifer gestohlene Zugangsdaten von 4837 GitHub-Konten ein, um die Schreibrechte für insgesamt 61.764 Repositories zu überprüfen. Dazu eröffneten sie Pull Requests mit dem Titel "docs: dependency audit notes", die angebliche Dokumentationshinweise zu Abhängigkeiten enthielten.

Zu den kompromittierten Konten gehörten auch solche aus verschiedenen Großkonzernen, der US-amerikanischen General Services Administration, der französischen Regierung sowie von Nextcloud und WebdriverIO. Rund 50 Konten verfügten offenbar zudem über Veröffentlichungsrechte in weiteren Software-Ökosystemen wie npm, PyPI, Go, crates und Packagist.


Bei erfolgreichen Angriffen veränderten die Angreifer bestehende GitHub-Actions-Workflows, legten neue Workflows auf kurzlebigen Branches an oder platzierten Installationsskripte für npm. Der eingeschleuste Shell-Code umfasste rund 1500 Zeilen und war darauf ausgelegt, möglichst viele Zugangsdaten einzusammeln.

Dazu gehörten GitHub-Tokens, Cloud-Zugangsdaten für AWS, Azure und Google Cloud sowie Schlüssel für Git, SSH, Docker, Kubernetes, Terraform und Vault. Auch Zugangsdaten für KI-Dienste wie OpenAI, Anthropic, Gemini, Hugging Face und GitHub Copilot wurden erfasst. Selbst private Schlüssel, Umgebungsvariablen, Dateien mit Zugangsdaten und gespeicherte Shell-Verläufe konnten ausgelesen werden.

Schnell rein, schnell raus

Besonders gefährlich ist die Möglichkeit, über GitHub-OIDC-Tokens temporäre Cloud-Sitzungen zu eröffnen und vorhandene Berechtigungen zur Ausweitung des Zugriffs zu nutzen. Unter bestimmten Voraussetzungen konnten Angreifer dadurch dauerhafte Zugangsdaten erzeugen oder Cloud-Identitäten verändern.

Die erbeuteten Informationen wurden komprimiert und an externe Server übertragen. Anschließend entfernten die Täter ihre Änderungen und löschten Workflow-Ausführungen sowie Protokolle - und das alles laut Aikido innerhalb von weniger als einer Minute. Es war entsprechend unwahrscheinlich, dass die Account-Inhaber zufällig etwas von den Aktivitäten mitbekamen.

Automatische Veröffentlichungsprozesse schleusten Schadcode zudem in einzelne Packagist- und Go-Pakete ein. Die Forscher vermuten allerdings, dass dies eher ein Nebeneffekt der automatisierten Angriffe als das eigentliche Ziel war. Repository-Betreiber sollten nach dem Branch "wfx-docs", entsprechenden Pull Requests und fehlenden Workflow-Protokollen suchen. Bei bestätigter Ausführung müssen sämtliche erreichbaren Zugangsdaten und Cloud-Berechtigungen als kompromittiert gelten und umgehend erneuert werden.

Siehe auch: