- 攻撃者は侵害した4,837件のGitHubアカウントを使い、61,764件のリポジトリにプルリクエストを送信
- 少なくとも1,835件のリポジトリがペイロードを実行し、認証情報を外部に窃取された
- 認証トークン、AWS・Azure・Google Cloudの認証情報などが標的に
サイバー犯罪者が、GitHubの複数の機能を悪用して情報窃取マルウェア（インフォスティーラー）を展開し、ユーザーのクラウドログイン認証情報やその他の機密情報を外部に窃取していることが、このほど確認されました。
セキュリティ研究企業のAikidoが公表した最新のレポートによると、すでに数万件のリポジトリが標的となり、そのうち約2,000件が被害に遭いました。攻撃者は盗んだGitHubの認証情報を使い、作業の高速化や自動化を目的とした2つの機能、GitHub ActionsとワークフローをApply悪用していました。
GitHubは、オープンソースプロジェクトに取り組む開発者向けのプラットフォームです。プロジェクトごとに「リポジトリ」があり、ソースコードや設定ファイル、その他のリソースをまとめて管理しています。開発者は「プルリクエスト」と呼ばれる手続きを通じて、公開リポジトリへの変更を提案できます。提案された変更は、ほかの開発者がレビューし、承認または却下します。
GitHubには、Actionsという自動化サービスもあります。プルリクエストをはじめ、さまざまなタスクを自動的に実行できる仕組みです。こうした自動化された処理は「ワークフロー」と呼ばれ、GitHubに何をすべきかを指示する一連の命令として記述されます。ここで重要なのは、ワークフローがタスクの実行に必要な場合、機密性の高い認証情報にアクセスできるという点です。
侵害されたアカウントの悪用
Aikidoによると、攻撃者は侵害した4,837件のGitHubアカウントを使い、61,764件のリポジトリにプルリクエストを送信しました。攻撃者がこれらのアカウントをどのように入手したのか、どのように侵害したのかについて、研究者らは言及していません。このプルリクエストは実際の攻撃ではなく探りを入れるためのもので、攻撃者はどのプロジェクトを改ざんできるかを確認する目的で使っていました。
「攻撃者がマルウェアにつけた名称と、窃取したシークレットを指す用語にちなみ、このキャンペーンを『wfx-loot』として追跡しています」とAikidoは述べています。プルリクエストのタイトルは「docs: dependency audit notes」で、「wfx-docs」という名前のブランチから送信されていました。
一致したプルリクエストは6万件を超えますが、そのうち1万件以上は、侵害されたアカウントが所有してはいないもののアクセス権を持つリポジトリを標的にしていました。書き込み権限を確立した後、攻撃者は3つの方法のいずれかで悪意のあるスクリプトを展開しました。既存のGitHub Actionsワークフローの改ざん、npmのインストールフックで起動するシェルスクリプトの追加、そして一時ブランチ上での新規ワークフローファイルの作成です。
ペイロードには約1,500行のコードが含まれており、3つのいずれの手法でも共通していました。このコードは、侵害した環境内から機密情報を探索します。対象は、GitHub Actionsのシークレット、認証トークン、AWS・Azure・Google Cloudの認証情報、DockerやKubernetesの設定ファイル、SSH鍵、OpenAIやAnthropicといったAIサービスのAPIキー、開発者のシェル履歴などです。さらに、.envファイルや秘密鍵、npm、PyPI、HashiCorp Vault、Terraformなどのツールに関する認証情報も探していました。
認証情報の窃取
このマルウェアは、アクセス範囲の拡大も試みていました。窃取したトークンをクラウドセッションと交換したり、サービスアカウントになりすましたり、新たな認証情報を作成したりしていたのです。被害者が侵害された認証情報をローテーションしても、アクセスを維持できるよう、AWSとAzureの設定も書き換えていました。
Aikidoは、少なくとも1,835件のリポジトリがペイロードを実行し、認証情報を外部に窃取されたとしています。その後、攻撃者は自らの変更を元に戻し、ワークフローの実行ログを削除しました。早い場合は1分以内に実行しており、痕跡を消して検知を一層困難にする狙いがありました。
wfx-lookキャンペーンはソフトウェアサプライチェーンにも波及したとみられます。AikidoはPackagist上の侵害されたPHPパッケージと、影響を受けた2つのGoモジュールのバージョンも確認しました。ただし研究者らは、これは攻撃者が意図したものではなく、自動化された公開プロセスを悪用した副次的な結果だった可能性があるとしています。
Aikidoは、自身のリポジトリで悪意のあるペイロードが実行された場合、ワークフローがアクセス可能なシークレットとクラウド認証情報はすべて侵害されたものとみなし、早急にローテーションするよう勧めています。
