60 тысяч репозиториев на GitHub подверглись попыткам взлома

Злоумышленник пытался получить доступ к более чем 60 тысячам репозиториев на платформе GitHub и внедрил шпионский код в тысячи из них. О масштабной кампании, которую назвали wfx-loot, сообщили сразу несколько компаний в сфере кибербезопасности, включая Aikido Security, StepSecurity и SafeDep. Атака началась 10 ноября.

Хакеры отправляли на первый взгляд безобидные запросы на изменение кода, а потом внедряли вредоносный скрипт. Аналитики SafeDep зафиксировали 8093 публичных репозитория с опасными правками, а эксперты Aikido подтвердили запуск вируса более чем в 1800 проектах.

При этом взломщик не использовал уязвимости самого GitHub, а применял действующие украденные токены. Скрипт собирал пароли, токены и ключи доступа к облачным сервисам AWS, Google Cloud и Azure. Чтобы скрыть следы присутствия, он сразу удалял изменения в коде и журналы выполнения задач.

Специалисты по информационной безопасности предупреждают, что при срабатывании вируса все доступные данные проекта необходимо считать утёкшими. Компаниям рекомендуют срочно отозвать старые токены, обновить ключи доступа и проверить облачные сервисы на наличие посторонних изменений.