El malware «Megalodon» infecta miles de repositorios de GitHub
Miles de repositorios de GitHub han sido envenenados con malware de robo de credenciales en la última campaña de amenazas para inquietar a quienes están bajo presión. cadena de suministro de software.
En un 21 de mayo Publicación de blogLa startup de ciberseguridad SafeDep informó sobre una campaña automatizada de malware con el nombre en código «Megalodon» que tuvo lugar en seis horas el 18 de mayo. En este corto período de tiempo, Megalodon logró enviar 5.718 confirmaciones maliciosas a 5.561 repositorios de GitHub.
Según SafeDep, un actor de amenazas utilizó cuentas ficticias e identidades de autor falsas para infiltrarse Acciones de GitHub Flujos de trabajo con cargas útiles maliciosas que filtran secretos de CI/CD, credenciales de nube, claves SSH, tokens de OpenID Connect y secretos de código fuente a un servidor de comando y control (C2).
Sigue la campaña del Megalodón una serie de ataques este año, que parecen haberse extendido rápidamente y han puesto patas arriba la cadena de suministro de software.
Tiburón de la cadena de suministro a la caza de secretos
Según SafeDep, Megalodon consta de dos cargas útiles. El malware principal añade un malware YAML Archivo llamado «SysDiag» que agrega un nuevo flujo de trabajo con cada solicitud push o pull. La carga útil secundaria, más específica, reemplaza los flujos de trabajo existentes con un activador de «despacho de flujo de trabajo» que actúa como una puerta trasera encubierta, evadiendo la detección y solo genera ejecuciones de CI visibles cuando se activa.
«Esto hiberna la puerta trasera. No hay ejecuciones visibles en la pestaña Acciones, ni compilaciones fallidas, ni señales de alerta en el historial de CI», explicó la compañía en su blog, y agregó que un atacante puede habilitar la puerta trasera a través de una API de GitHub.
SafeDep descubrió Megalodon por primera vez cuando el motor Malysis de la empresa detectó actividad maliciosa en un paquete. Flujo de trabajo de acciones de GitHub Archivo para un paquete npm, @tiledesk/[email protected]Parte de la plataforma de chatbot de código abierto Tiledesk. Resultó que Tiledesk tenía nueve repositorios con puertas traseras y los mantenedores, sin saberlo, estaban liberando código envenenado a los usuarios intermedios, propagando sin darse cuenta las infecciones de Megalodon.
No está claro por qué la campaña sólo duró seis horas. Abhisek Datta, ingeniero de seguridad de SafeDep, le dice a Dark Reading que el equipo de investigación no observó ningún comportamiento limitado en el tiempo al analizar Megalodon.
«Nuestra hipótesis es que la campaña aprovechó credenciales válidas para infectar los repositorios», dice Datta. «Las credenciales probablemente se obtuvieron a través de ataques anteriores a la cadena de suministro contra desarrolladores. Lo más probable es que los atacantes utilizaran todas las credenciales de su lista durante este período de tiempo».
Seguridad OX liberada investigación adicional la semana pasada en Megalodon y confirmó que alrededor de 3500 repositorios de GitHub contenían el archivo YAML malicioso.
«El número de repositorios infectados en realidad ha disminuido ligeramente desde la semana pasada, de alrededor de 3500 a alrededor de 2900, pero eso significa que casi el 83% sigue infectado más de una semana después del ataque», le dice a Dark Reading Moshe Siman Tov Bustan, investigador de seguridad de OX y autor de la publicación del blog. «La ventana del ataque se cerró después de aproximadamente seis horas, pero GitHub aún tiene que limpiar completamente los repositorios afectados».
¿Conexión de Megalodon a TeamPCP?
La campaña Megalodon sigue a varios ataques de alto perfil a la cadena de suministro, muchos de los cuales son obra de un grupo de amenazas emergente llamado EquipoPCP. Las infecciones de Megalodon ocurrieron un día antes de que TeamPCP se atribuyera la responsabilidad de un Violación masiva de GitHub en el que los atacantes robaron código de alrededor de 4.000 repositorios internos.
¿Megalodon podría ser obra de TeamPCP? Siman-Tov Bustan señaló en su blog que todas las confirmaciones infectadas con Megalodon tienen una fecha codificada del 17 de septiembre de 2001 e identidades de bot falsas. [email protected] o [email protected]. Esto, escribió, es similar al comportamiento observado El código fuente autofiltrado de TeamPCP para el gusano Shai Hulud.
Pero Siman Tov Busta dice que se trata de «similitudes a nivel superficial» y que actualmente no existen vínculos directos, indicadores de identificación o compromisos (IOC) o reclamaciones de responsabilidad que vinculen a TeamPCP con Megalodon. «Un indicador que podría probar la asociación sería el uso de la misma clave pública para cifrar los datos robados en todos los ataques, ya que sólo el propio grupo podría descifrarlos, esa sería una señal reveladora», afirma. «La conexión sigue sin confirmarse por el momento».
Datta está de acuerdo y dice que no hay conexión entre los indicadores técnicos y que la carga útil y las tácticas, técnicas y procedimientos (TTP) se ven diferentes, dice. “Dada nuestra hipótesis anterior de explotar credenciales robadas… [Megalodon] campaña, no descartaría por completo la colaboración entre TeamPCP y grupos relacionados que comparten acceso”.
Colaborar con otro delito cibernético no estaría fuera de lugar para TeamPCP, que se fundó a principios de este año. una alianza oficial con Vectuna banda de ransomware emergente. Pero en este momento no está claro quiénes son los atacantes y cuál podría ser su objetivo final.
Mientras tanto, OX Security instó a las organizaciones a bloquear cualquier conexión al servidor C2 de Megalodon; Verifique sus repositorios de GitHub en busca de malware, acciones de GitHub y archivos YAML maliciosos. y si se detecta actividad sospechosa, revocar y rotar todas las credenciales, claves SSH, claves API y otros secretos.
Haga clic aquí para Todo nuestro contenido DR20que se introducirá durante el mes de mayo. ¡Sigue revisando si hay nuevos artículos!
Este contenido de ciberseguridad nos ha llegado de: DarkReading
Llegarás a la noticia original en el enlace que se encuentra a continuación: https://www.darkreading.com/application-security/megalodon-malware-infects-thousands-github-repos
