Chiến dịch tấn công quy mô lớn mang tên GhostAction đã được các nhà nghiên cứu bảo mật phát hiện, gây ra tình trạng rò rỉ dữ liệu nhạy cảm từ 327 người dùng GitHub và ảnh hưởng đến 817 kho lưu trữ. Cuộc tấn công này cho thấy một mối đe dọa mạng đáng kể đối với hệ sinh thái phát triển.
Nguồn Gốc và Cơ Chế Tấn Công GhostAction
Phát Hiện Ban Đầu
Sự việc bắt đầu khi một quy trình làm việc (workflow) độc hại được phát hiện trong dự án FastUUID, một thư viện được sử dụng rộng rãi. GitGuardian đã nhận diện một commit GitHub workflow đáng ngờ mang tiêu đề “Add Github Actions Security workflow”, được tài khoản Grommash9 đẩy lên vào ngày 2 tháng 9 năm 2025.
Kỹ Thuật Đánh Cắp Bí Mật
Quy trình làm việc độc hại này được thiết kế để đánh cắp các bí mật nhạy cảm, bao gồm các token API. Chúng sau đó được truyền đến một máy chủ do kẻ tấn công kiểm soát. Cụ thể, file độc hại đã trích xuất PyPI API token từ các biến môi trường của kho lưu trữ và chuyển dữ liệu này ra bên ngoài.
Mặc dù token PyPI có thể được dùng để giả mạo gói FastUUID trên PyPI, các nhà nghiên cứu xác nhận không có bằng chứng về việc phát hành phiên bản độc hại nào trong thời gian bị xâm nhập.
Phản Ứng Nhanh Chóng và Hạn Chế Ảnh Hưởng
GitGuardian đã ngay lập tức đưa ra cảnh báo và báo cáo sự việc cho PyPI. Chỉ trong vài giờ, PyPI đã đặt dự án vào chế độ chỉ đọc và người duy trì bị thỏa hiệp đã hoàn tác (rollback) commit độc hại. Nhờ phản ứng kịp thời này, tác động của cuộc tấn công GhostAction lên FastUUID và các dự án phụ thuộc, như BerriAI/litellm, được đánh giá là tối thiểu.
Mở Rộng Phạm Vi và Rủi Ro Chuỗi Cung Ứng
Phát Hiện Mục Tiêu Khác
Tuy nhiên, quá trình điều tra sâu hơn cho thấy FastUUID không phải là mục tiêu duy nhất. Các commit độc hại tương tự đã được phát hiện trên nhiều kho lưu trữ khác, cả công khai lẫn riêng tư. Điều này đã dẫn đến việc liên kết cuộc tấn công với một chiến dịch rộng lớn hơn, ảnh hưởng đến hàng trăm dự án.
Các Loại Bí Mật Bị Đánh Cắp
Mỗi commit đã triển khai các quy trình làm việc tương tự, cố gắng đánh cắp nhiều loại bí mật khác nhau, bao gồm: GitHub tokens, DockerHub credentials, Cloudflare API tokens và NPM access keys. Tổng cộng, GitGuardian đã xác định 3.325 bí mật bị rò rỉ trong suốt chiến dịch.
Rủi Ro Chuỗi Cung Ứng Cao
Các token NPM và PyPI bị thỏa hiệp gây ra rủi ro bảo mật chuỗi cung ứng đáng kể. Kẻ tấn công có thể sử dụng chúng để phát hành các gói độc hại dưới tên đáng tin cậy. Điều này làm tăng nguy cơ cho toàn bộ hệ sinh thái phát triển.
Cơ Sở Hạ Tầng Kẻ Tấn Công và Bằng Chứng Khai Thác
Kênh Exfiltration Dữ Liệu
Các quy trình làm việc độc hại đã nhất quán gửi dữ liệu bị đánh cắp đến máy chủ tại hxxps://bold-dhawan.45-139-104-115.plesk.page, địa chỉ này được phân giải đến một IP được lưu trữ dưới 493networking.cc. Cơ sở hạ tầng này đã ngừng phản hồi vào tối ngày 5 tháng 9, cho thấy kẻ tấn công có thể đã tắt nó sau khi bị phát hiện.
Xác Nhận Khai Thác Thực Tế
Các báo cáo ban đầu từ các nhà phát triển bị ảnh hưởng xác nhận rằng các bí mật bị đánh cắp đã bị khai thác tích cực. Điều này bao gồm việc sử dụng trái phép các AWS keys và thông tin đăng nhập cơ sở dữ liệu. Một số công ty đã bị thỏa hiệp toàn bộ danh mục phần mềm, trải dài trên các ngôn ngữ như Python, Rust, JavaScript và Go.
Cảnh Báo Hiện Tại
GitGuardian đã công bố đầy đủ các phát hiện cho GitHub, PyPI và NPM vào ngày 5 tháng 9. Hiện tại, 9 gói NPM và 15 dự án PyPI vẫn có nguy cơ tiềm tàng nếu các token bị thỏa hiệp của chúng được sử dụng để phát hành các bản cập nhật độc hại. Đây là một vấn đề nghiêm trọng đối với an ninh mạng.
Để tìm hiểu thêm chi tiết về chiến dịch này, bạn có thể tham khảo bài viết gốc từ GitGuardian: GhostAction campaign: 3,325 secrets stolen.
Các Chỉ Số Thỏa Hiệp (IOCs)
Các tổ chức nên kiểm tra hệ thống của mình để phát hiện các chỉ số thỏa hiệp sau:
Chỉ Số Mạng
- Địa chỉ máy chủ exfiltration:
bold-dhawan.45-139-104-115.plesk.page(IP:45.139.104.115)
Chỉ Số Quy Trình Làm Việc GitHub
- Tên tài khoản độc hại:
Grommash9 - Tiêu đề commit độc hại:
Add Github Actions Security workflow
Bài Học và Khuyến Nghị Bảo Mật
Chiến dịch tấn công GhostAction được xem là một trong những vụ thỏa hiệp hệ sinh thái nhà phát triển lớn nhất trong những năm gần đây. Nó nhấn mạnh tầm quan trọng của việc giám sát các quy trình làm việc, bảo mật bí mật trong CI/CD, và duy trì khả năng ứng phó sự cố nhanh chóng để ngăn chặn các cuộc đánh cắp dữ liệu tương tự trong tương lai.
