مهاجم يستخدم 4,837 حساب GitHub مسروقاً لزرع سارق أسرار في أكثر من 1,800 مستودع

بحسب شركة Aikido Security، بدأ مهاجم يوم الثلاثاء الماضي باستخدام بيانات دخول مسروقة لـ 4,837 حساباً على GitHub، وزرع شيفرة لسرقة الأسرار في المستودعات التي تملك هذه الحسابات صلاحية الكتابة عليها.

صُممت الشيفرة لسرقة الأسرار وبيانات الدخول السحابية التي تصل إليها مسارات التكامل المستمر (CI) في المستودع، وعملت في 1,806 مستودعات على الأقل، ما يعني أن المهاجم جمع على الأرجح أسراراً من كثير منها.

ماذا تفعل الآن؟

1. راجع سجل الإيداعات (commits) وملفات .github/workflows في مستودعاتك بحثاً عن تغييرات لم تقم بها.
2. إذا وجدت أي تعديل مشبوه، فاعتبر كل الأسرار التي تصل إليها مسارات CI مكشوفة، وبدّلها فوراً.
3. فعّل التحقق الثنائي بمفاتيح أمان لكل أعضاء الفريق، وقلّل عدد من يملكون صلاحية الكتابة.
4. استخدم OIDC بدلاً من المفاتيح السحابية الدائمة في GitHub Actions، وقيّد صلاحيات GITHUB_TOKEN.