Megalodon attacca GitHub, infettando oltre 5 500 repository con codice dannoso

Attacco informatico su GitHub: l'applicazione dannosa Megalodon infetta migliaia di repository

*Data dell'evento:* lunedì, 18 maggio

*Obiettivo dell'attacco:* piattaforma di sviluppo GitHub

*Portata dell'impatto:* più di 5.500 repository

Cosa è successo?
Per circa sei ore il 18 maggio l'applicazione dannosa Megalodon ha inserito commit “maligni” in oltre 5.561 repository su GitHub. Se un proprietario di uno di questi progetti include tale commit, avvia automaticamente codice malevolo sui server CI/CD (Continuous Integration / Continuous Deployment). Ciò consente agli aggressori di diffondere rapidamente il programma all'interno dell'infrastruttura del progetto.

Come funziona Megalodon?
1. Furto delle credenziali CI/CD

- Chiavi segrete AWS, token Google Cloud e Azure

- Metadati degli istanze dei provider cloud

- Chiavi SSH private, configurazioni Docker/Kubernetes

- Token Vault, credenziali Terraform

2. Scansione del codice sorgente

- Utilizza oltre 30 espressioni regolari per trovare token nascosti e chiavi.

3. Ottenimento di token GitHub

- Inclusi token di autenticazione presso provider cloud e Bitbucket, permettendo agli aggressori di impersonare sviluppatori e accedere ai servizi cloud.

Dove è stato scoperto per la prima volta?
Il codice dannoso è apparso sulla piattaforma open source Tiledesk – sistema di chat online e chatbot.

- L'amministratore del progetto pubblicava una versione “pulita” 2.18.5, ma poi approvò versioni da 2.18.6 (19 maggio) a 2.18.12 (21 maggio), contenenti backdoor.

Connessione con un gruppo hacker
- Schemi simili sono usati dal gruppo TeamPCP.

- Tuttavia non c'è conferma diretta della loro partecipazione alla campagna Megalodon.

- TeamPCP ha lanciato una competizione per attacchi di catena di approvvigionamento, ma i partecipanti devono aggiungere la chiave pubblica di crittografia al codice; il creatore di Megalodon non è probabilmente uno di loro.

Monitoraggio dell'attività
Gli studiosi hanno tracciato l'attività del codice dannoso a due indirizzi email.

- Con essi sono stati inviati commit in 5.561 repository.

- Tutte le modifiche sono apparse il 18 maggio in poco più di sei ore.

Conclusioni
I regolari attacchi su GitHub minacciano la sicurezza di qualsiasi azienda, anche se i suoi repository sono chiusi. I malware continuano a infiltrarsi nelle infrastrutture e finora non è stato possibile fermarli completamente.