Хакеры попытались украсть 3 174 ключа доступа и пароля к чужой инфраструктуре. Основной удар пришёлся на 8 и 9 октября: вредоносный код заливали тысячами копий за считаные минуты.
Для понимания: это не первая волна. В августе и сентябре хакеры уже проникали в сотни публичных репозиториев, и к началу октября только 16% пострадавших вычистили свой код.
Для автоматизации процессов площадка гоняет сценарии прямо внутри репозиториев. Взломщики маскировали скрипты под безобидные файлы проверок с названиями security-audit.yml и github_actions_security.yml.
Атака шла через скомпрометированные профили реальных разработчиков. Например, с чужого аккаунта хакеры отправили вредоносные сценарии сразу в 318 сторонних проектов, зацепив даже репозиторий Uber.
Все собранные учетные данные отправлялись напрямую на один конкретный IP-адрес. Сама схема работала по цепочке:
- бот выкачивал дерево файлов и историю коммитов;
- находил секретные ключи окружения с токенами;
- и открытым протоколом HTTP сливал добычу наружу.
Повторные волны 10 и 12 октября захлебнулись: опасные процессы вовремя заблокировали.
Теперь командам предстоит срочно отзывать старые токены и вычищать из настроек репозиториев подозрительные файлы.
Что это значит
Хранить ключи и пароли от сервисов в коде опасно: если хакеры взломают хотя бы один сторонний аккаунт с доступом к проекту, утечёт вся инфраструктура.
