Se ha detectado un ataque a la cadena de suministro en los flujos de trabajo de GitHub Actions, específicamente en actions-cool/issues-helper y maintain-one-comment. Los atacantes utilizaron commits impostores para robar credenciales confidenciales de los procesos CI/CD y enviarlas a un servidor externo. GitHub ya ha desactivado los repositorios afectados para detener la exfiltración de datos.

En 

Otro ataque a la cadena de suministro de software, los actores de amenazas han comprometido el popular flujo de trabajo de GitHub Actions, actions-cool/issues-helper, para ejecutar código malicioso que recolecta credenciales confidenciales y las exfiltra a un servidor controlado por el atacante.

"Cada etiqueta existente en el repositorio ha sido movida para apuntar a un commit impostor que no aparece en el historial de commits normal de la acción", afirmó Varun Sharma, investigador de StepSecurity [fuente]. "Ese commit contiene código malicioso que exfiltra credenciales de los canales de CI/CD que ejecutan la acción".

Un commit impostor se refiere a una estrategia engañosa de ataque a la cadena de suministro de software en la que se inyecta código malicioso en un proyecto haciendo referencia a un commit o etiqueta que existe solo en un fork controlado por el adversario, en lugar del repositorio original de confianza. Como resultado, los atacantes pueden evadir las revisiones estándar de Pull Request (PR) y lograr la ejecución arbitraria de código.

El commit impostor

El commit impostor, según la empresa de ciberseguridad, contiene código que, al ser ejecutado dentro de un ejecutor de GitHub Actions, realiza una serie de acciones:

•  Descarga el entorno de ejecución de JavaScript Bun en el ejecutor.
•  Lee la memoria del proceso Runner.Worker para extraer credenciales.
•  Realiza una llamada HTTPS saliente a un dominio controlado por el atacante ("t.m-kosche[.]com") para transmitir los datos robados.

StepSecurity señaló que 15 etiquetas asociadas a una segunda acción de GitHub, "actions-cool/maintain-one-comment", también han sido comprometidas con la misma funcionalidad.

GitHub ha deshabilitado desde entonces el acceso al repositorio [enlace] debido a una "violación de los términos de servicio de GitHub". Actualmente no se sabe qué llevó a la subsidiaria propiedad de Microsoft a tomar esta decisión.

Curiosamente, el dominio de exfiltración "t.m-kosche[.]com" ha sido observado en la última ola de la campaña Mini Shai-Hulud dirigida a paquetes npm del ecosistema @antv, lo que indica que ambos grupos de actividad podrían estar relacionados.

"Debido a que cada etiqueta ahora resuelve a commits maliciosos, cualquier flujo de trabajo que haga referencia a la acción por versión descargará el código malicioso en su próxima ejecución", afirmó StepSecurity. "Solo los flujos de trabajo anclados a un SHA de commit completo y conocido como seguro no se ven afectados".

Fuente:
THN