مِيجالودون يهاجم GitHub، متسببًا في إصابة أكثر من ‎٥٬٥٠٠ مستودع برمجيات ضارة.

هجوم إلكتروني على GitHub: تطبيق خبيث Megalodon يلوث آلاف المستودعات

*تاريخ الحدث:* الاثنين، 18 مايو

*هدف الهجوم:* منصة تطوير GitHub

*نطاق الضرر:* أكثر من 5,500 مستودع

ما الذي حدث؟
خلال حوالي ست ساعات في يوم 18 مايو، أدخل تطبيق Megalodon خبيث "التعديلات الضارة" إلى أكثر من 5,561 مستودعًا على GitHub. إذا قام مالك أيٍّ من هذه المشاريع بدمج مثل هذا الالتزام، يتم تشغيل الكود الخبيث تلقائيًا على خوادم CI/CD (الاندماج المستمر / النشر المستمر). يتيح ذلك للمهاجمين نشر البرنامج بسرعة داخل بنية المشروع.

كيف يعمل Megalodon؟
1. سرقة بيانات اعتماد CI/CD

- مفاتيح AWS السرية، رموز Google Cloud وAzure

- بيانات التعريف الخاصة بموفرات السحابة

- مفاتيح SSH المغلقة، إعدادات Docker/Kubernetes

- رموز Vault، بيانات اعتماد Terraform

2. مسح الكود المصدري

- يستخدم أكثر من 30 تعبيرًا عاديًا للبحث عن الرموز والمفاتيح المخفية.

3. الحصول على رموز GitHub

- بما في ذلك رموز المصادقة لدى موفرات السحابة وBitbucket، مما يتيح للمهاجمين التظاهر بأنهم مطورون والوصول إلى خدمات السحابة.

أين تم اكتشافه لأول مرة؟
ظهر الكود الخبيث في منصة Tiledesk المفتوحة – نظام الدردشة عبر الإنترنت وروبوتات المحادثة.

- نشر مدير المشروع نسخة "نظيفة" 2.18.5، لكنه ثم وافق على الإصدارات من 2.18.6 (19 مايو) إلى 2.18.12 (21 مايو)، التي تحتوي على خلفيات.

العلاقة مع مجموعة القراصنة
- تستخدم مجموعة TeamPCP أنماطًا مماثلة.

- ومع ذلك لا توجد تأكيدات مباشرة لمشاركتهم في حملة Megalodon.

- أعلنت TeamPCP مسابقة لهجمات سلسلة التوريد، لكن المشاركين يجب عليهم إضافة مفتاح تشفير عام إلى الكود؛ من المحتمل ألا يكون منشئ Megalodon أحدهم.

تتبع النشاط
أحيل الباحثون نشاط الكود الخبيث إلى عنواني بريد إلكتروني.

- باستخدامهما أُرسل الالتزامات إلى 5,561 مستودعًا.

- ظهرت جميع التغييرات في يوم 18 مايو خلال أكثر من ست ساعات.

النتائج
تؤدي الاختراقات المنتظمة لـ GitHub إلى تهديد أمن أي شركة، حتى لو كانت مستودعاتها مغلقة. لا تزال البرمجيات الخبيثة تغزو البنية التحتية ولم يتمكنوا بعد من إيقاف انتشارها بالكامل.