Wiz-ի խոսքով՝ Gheist-ը GitHub-ի գաղտնի տվյալները գողանում է առաջադրանքների մատյանների միջոցով

Որտեղ հաստատման պաշտպանական մեխանիզմը չի գործում

Հուլիսի 28-ից GitHub-ը դադարեցնում է ավտոմատացված գործընթացների այն գործարկումները, որոնք համարում է հնարավոր վնասաբեր, մինչև գրելու իրավունք ունեցող համահեղինակը հաստատի դրանք։ Հանրային պահոցներում Gheist-ի բոլոր գործարկումները, որոնք ստուգել է Wiz-ը, դեռ սպասում էին հաստատման, ուստի դրանց վնասաբեր կոդը չէր կատարվել։ Պաշտպանական մեխանիզմը գործում է միայն github.com-ի հանրային պահոցներում, ոչ թե մասնավոր պահոցներում կամ GitHub Enterprise Server-ում, և կասեցնում է միայն այն գործարկումները, որոնք GitHub-ը նշում է որպես կասկածելի։

Մասնավոր պահոցներում և Enterprise Server-ում Wiz-ը դիտարկել է աուդիտի գրառումներ, որոնք ցույց են տալիս, որ հարձակվողների ստեղծած ճյուղերում գործարկումներն ավարտվել են, ապա ջնջվել gheist ներկայացող գործիքի միջոցով։ Wiz-ի խոսքով՝ Gheist-ը տարբերվում է GhostAction-ից՝ առանձին հարձակման արշավից, որն օգտագործում է ավտոմատացված գործընթացների այլ ֆայլեր։

Հոկտեմբերի 19-ի մոտ Gheist-ի տարբերակներից մեկում ավելացվել է առաջադրանք՝ ուղղված կազմակերպությունների սեփական գործարկիչներին՝ համակարգիչներին, որոնք կազմակերպություններն իրենք են շահագործում GitHub Actions-ի առաջադրանքները կատարելու համար։ Այդ առաջադրանքը համակարգչում նույնականացման տվյալներ է որոնում։ Wiz-ն այն բնութագրել է որպես ծրագրային սխալներ ունեցող և չի հայտնել որևէ հաջող գործարկման մասին։

Ինչ պետք է ստուգեն պահոցների տերերը

Wiz-ը հայտնել է, որ հոկտեմբերի 24-ի դրությամբ Gheist-ը շարունակում էր գործել և փոփոխվել։ Ընկերությունը խորհուրդ է տալիս ստուգել հետևյալ նշանների առկայությունը․

• Ճյուղեր, որոնց անունը սկսվում է ci-sync-ով, որին հաջորդում են վեց փոքրատառ կամ թվանշան, և որտեղ ավելացված է միայն .github/workflows/sync-check.yml ֆայլը՝ ci: sync config փոփոխության գրառմամբ։
• Աուդիտի գրառումներ, որոնք ցույց են տալիս, որ այդ ճյուղերի գործարկումները ջնջվել են ավարտվելուց հետո մեկ րոպեի ընթացքում, կամ գործողություններ՝ gheist հաճախորդի նույնացուցիչով։
• Սեփական գործարկիչներում՝ .gdmp_pat, .gdmp_patg կամ .gdmp_sweep անուններով ֆայլեր, իսկ առաջադրանքների մատյաններում՝ gdmp-pivot տողը։

Ճյուղը կամ գործարկումը ջնջելը չի վերացնում տվյալների բացահայտման հետևանքները։ Wiz-ը տուժած պահոցների տերերին խորհուրդ է տալիս փոխարինել պահոցի, կազմակերպության և տեղակայման միջավայրերի բոլոր գաղտնի տվյալները, որոնց պահոցը կարող էր հասանելիություն ունենալ, չեղարկել փոփոխությունները վերբեռնած թոքենները և դրանց տերերի սարքերը ստուգել նույնականացման տվյալներ գողացող վնասաբեր ծրագրերի առկայության համար։ Տերերը չպետք է հաստատեն կասեցված sync-check գործարկումները կամ կատարեն ci-sync ճյուղերի կոդը։

Եթե վնասաբեր ճյուղը գործարկվել է սեփական գործարկիչում, Wiz-ը խորհուրդ է տալիս համակարգիչն ու դրա հետ կապված ամպային հասանելիության իրավունքները համարել վտանգված։ Հետագայում տվյալների բացահայտման հնարավորությունը սահմանափակելու համար ընկերությունն առաջարկում է պարտադիր ստուգողների հաստատում պահանջել այն միջավայրերում, որտեղ պահվում են շահագործվող համակարգերի գաղտնի տվյալները։ GitHub-ի փաստաթղթերում նշված է, որ առաջադրանքը չի կարող կարդալ այդ միջավայրի գաղտնի տվյալները, մինչև պարտադիր ստուգողը չհաստատի այն։