Hơn 61.000 kho mã nguồn GitHub trở thành mục tiêu của tin tặc

Một chiến dịch tấn công mạng quy mô lớn nhắm vào hơn 61.000 kho mã nguồn GitHub nhằm đánh cắp thông tin đăng nhập và dữ liệu đám mây.

Theo TechRadar , các nhà nghiên cứu tại Aikido Security vừa phát hiện chiến dịch tấn công mạng mang tên wfx-loot, trong đó tin tặc sử dụng hàng nghìn tài khoản GitHub bị chiếm quyền để phát tán mã độc. Tổng cộng 61.764 kho lưu trữ mã nguồn đã trở thành mục tiêu, trong đó ít nhất 1.835 kho được xác nhận đã thực thi mã độc và bị đánh cắp dữ liệu xác thực.

Hàng nghìn tài khoản GitHub bị chiếm quyền

Theo Aikido Security, tin tặc đã lợi dụng 4.837 tài khoản GitHub bị xâm nhập để gửi hàng loạt yêu cầu chỉnh sửa mã nguồn (pull request). Hơn 10.000 yêu cầu trong số này được gửi đến các kho lưu trữ không thuộc sở hữu của tài khoản bị chiếm quyền nhưng vẫn có quyền truy cập.

Sau khi xác định mục tiêu, tin tặc tìm cách chèn mã độc vào các quy trình GitHub Actions, vốn được sử dụng để tự động kiểm tra, xây dựng và triển khai phần mềm. Một số trường hợp còn bị can thiệp thông qua tập lệnh cài đặt gói npm hoặc quy trình tự động mới.

Các nhà nghiên cứu cho biết mã độc có độ dài khoảng 1.500 dòng, được thiết kế để thu thập thông tin nhạy cảm trong môi trường phát triển phần mềm.

Mục tiêu chính của chiến dịch là thông tin xác thực từ Amazon Web Services (AWS), Microsoft Azure, Google Cloud cùng khóa API của các dịch vụ AI như OpenAI và Anthropic. Mã độc cũng tìm kiếm khóa SSH, mã xác thực và dữ liệu cấu hình liên quan đến Docker, Kubernetes.

Đáng chú ý, sau khi đánh cắp dữ liệu, tin tặc còn tìm cách duy trì quyền truy cập bằng cách tạo thông tin xác thực mới hoặc thay đổi một số cấu hình dịch vụ đám mây. Để che giấu hoạt động, mã độc tự động hoàn tác các thay đổi và xóa nhật ký GitHub Actions, đôi khi chỉ trong vòng một phút. Điều này khiến các cuộc tấn công khó bị phát hiện nếu chỉ kiểm tra lịch sử chỉnh sửa mã nguồn.

Các tổ chức bị ảnh hưởng cần thu hồi, thay thế những khóa bảo mật có nguy cơ bị lộ và rà soát lại toàn bộ quy trình tự động trên GitHub.