Chiến dịch GhostAction: 790 kho lưu trữ GitHub bị chiếm quyền kiểm soát

• Quy mô tấn công: Hơn 790 kho lưu trữ GitHub đã bị phát hiện chứa các workflow độc hại trong chiến dịch GhostAction.
• Mục tiêu dữ liệu: Kẻ tấn công tập trung đánh cắp thông tin xác thực AWS, token phần mềm và API key của các dịch vụ AI như OpenAI, Anthropic.
• Kỹ thuật khai thác: Lạm dụng quyền truy cập vào tài khoản nhà phát triển để chèn các workflow tự động quét lịch sử Git và gửi dữ liệu về máy chủ C2.
• Khuyến nghị: Cần thực hiện xoay vòng toàn bộ secret, thu hồi token GitHub và kiểm tra kỹ các workflow trong CI/CD pipeline.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo về chiến dịch mang tên GhostAction, một cuộc tấn công tinh vi nhắm vào hệ sinh thái GitHub. Bằng cách chèn các workflow GitHub Actions độc hại vào 790 kho lưu trữ, kẻ tấn công đã tạo ra một con đường để đánh cắp thông tin xác thực đám mây, token xuất bản phần mềm và các API key quan trọng của các dịch vụ AI.

Cơ chế vận hành của chiến dịch GhostAction

Chiến dịch này lợi dụng sự tin tưởng vào các tài khoản nhà phát triển đã bị xâm nhập. Một khi kẻ tấn công có quyền ghi vào kho lưu trữ của một người bảo trì (maintainer), chúng sẽ thêm các workflow tự động kích hoạt khi có mã nguồn mới được đẩy lên (push) hoặc khi được khởi chạy thủ công. Điều này biến các tài khoản bị đánh cắp thành bàn đạp để thâm nhập vào hệ thống đám mây, registry gói phần mềm và các dự án khác.

Các nhà nghiên cứu từ OpenSourceMalware đã phát hiện giai đoạn mới nhất của chiến dịch này trong quá trình điều tra gói PyPI độc hại có tên claudecord. Workflow độc hại không chỉ đọc các secret của GitHub Actions mà còn quét toàn bộ tệp tin trong kho lưu trữ để tìm kiếm các chuỗi ký tự giống thông tin xác thực.

Kỹ thuật quét dữ liệu và né tránh

Kẻ tấn công sử dụng lệnh fetch-depth: 0 để lấy toàn bộ lịch sử Git, cho phép chúng tìm kiếm các khóa đã bị xóa trong các commit cũ. Các mẫu dữ liệu mục tiêu bao gồm:

• Thông tin xác thực: AWS access keys, GitHub/GitLab tokens, Google, Slack, SendGrid.
• Dịch vụ AI: OpenAI, Anthropic, OpenRouter API keys.
• Kỹ thuật thu thập: Workflow thu thập các dòng mã xung quanh AWS key ID để tìm kiếm secret key hoặc thông tin ngữ cảnh liên quan.

Dữ liệu thu thập được gửi về hạ tầng do kẻ tấn công kiểm soát qua giao thức HTTP thuần túy. Vì quá trình truyền tải diễn ra từ một CI runner, nó thường bị nhầm lẫn với hoạt động build thông thường nếu đội ngũ bảo mật không kiểm tra kỹ các thay đổi trong workflow và lưu lượng mạng outbound.

Bảng chỉ số IOCs (Indicators of Compromise)

⚠️ Cảnh báo quan trọng: Việc xóa tệp workflow độc hại là không đủ. Kẻ tấn công có thể đã đánh cắp token GitHub và các secret khác trước đó. Đội ngũ bảo mật cần thực hiện thu hồi toàn bộ token, xoay vòng secret và kiểm tra lịch sử triển khai trong giai đoạn bị ảnh hưởng.

Hướng dẫn phòng thủ và Hardening

Để đối phó với các mối đe dọa như GhostAction, các tổ chức cần áp dụng nguyên tắc đặc quyền tối thiểu (least-privilege) và tăng cường giám sát CI/CD:

• Kiểm soát thay đổi: Yêu cầu phê duyệt đối với mọi thay đổi trong tệp cấu hình workflow (.github/workflows/).
• Hạn chế mạng: Giới hạn quyền truy cập mạng của các runner để ngăn chặn việc gửi dữ liệu ra ngoài hạ tầng không xác định.
• Giám sát: Thiết lập cảnh báo cho các hành vi bất thường từ CI runner, đặc biệt là các kết nối HTTP đến các IP lạ hoặc các lệnh git log quy mô lớn.
• Audit: Thường xuyên kiểm tra lịch sử commit để phát hiện các secret bị lộ vô tình trong quá khứ.

Tham khảo thêm tài liệu về Security hardening for GitHub Actions từ GitHub để củng cố cấu hình bảo mật cho hệ thống của bạn.