EVERYTHING
За даними Techradar, Агентство з кібербезпеки та захисту інфраструктури США (CISA) випустило офіційне попередження щодо одночасно активних атак на ланцюги постачання програмного забезпечення. Під удар потрапили інструменти, якими щодня користуються тисячі розробників по всьому світу: розширення VS Code, GitHub Actions і CI/CD-пайплайни корпоративного рівня.
Механіка атак: від розширення до хмарних секретів
Перший вектор атаки пов'язаний з Nx Console — популярним розширенням для Visual Studio Code. Зловмисники скомпрометували внутрішні системи розробників Nx, після чого через отруєне розширення змогли захопити пристрій співробітника GitHub. Це відкрило доступ до внутрішніх репозиторіїв і дозволило витягнути чутливі дані з приватних сховищ. Ключова особливість цього вектора — використання довіреного каналу розповсюдження: розширення надходило через офіційний маркетплейс, тому звичайні засоби верифікації його не відсіяли.
Паралельно тривала кампанія Megalodon, у межах якої хакери вручну або автоматизовано впроваджували шкідливі workflow-файли у GitHub Actions. Ці файли виконувались у контексті CI/CD-пайплайнів і непомітно зливали секрети оточення назовні. CISA підкреслює, що обидві атаки об'єднує одна логіка: замість прямого злому цільової системи зловмисники отруюють інструменти та процеси, яким розробники беззастережно довіряють.
Що саме було вкрадено
CISA перераховує широкий спектр скомпрометованих облікових даних. Серед них:
- API-ключі та токени хмарних провайдерів: Amazon Web Services, Google Cloud Platform, Microsoft Azure
- SSH-ключі та токени репозиторіїв: GitHub, GitLab, Bitbucket
- Облікові дані реєстрів: Docker, npm, PyPI
- Токени інфраструктурних інструментів: Vault, Terraform, Kubernetes
- Секрети CI/CD-пайплайнів і внутрішні developer-секрети
Такий набір дає зловмиснику повний контроль над хмарною інфраструктурою жертви, можливість публікувати заражені пакети від імені легітимних авторів і поширювати атаку далі по ланцюгу постачання.
Рекомендації CISA: що робити прямо зараз
Агентство наполегливо рекомендує організаціям, які виявили ознаки компрометації, провести форензик-аналіз логів CI/CD, хмарних аудит-журналів і робочих машин розробників. Усі секрети, до яких мав доступ скомпрометований пайплайн, слід негайно відкликати і перевипустити. Для превентивного захисту CISA пропонує три конкретні заходи: моніторинг і аудит усіх workflow-файлів та активності контрибуторів з відкатом несанкціонованих змін; фіксація пакетів на конкретних перевірених версіях і підтягування винятково з довірених джерел; витримка мінімум 3 годин після публікації нового пакету перед його використанням, щоб дати спільноті час виявити шкідливі коміти. Системний характер цих атак і географічна ненаправленість кампанії Megalodon свідчать про те, що будь-яка організація, яка використовує GitHub Actions або сторонні VS Code-розширення без суворого контролю, залишається потенційною ціллю.