4.837 GitHub Hesabı Ele Geçirilerek CI Gizli Bilgi Çalıcısı Çalıştırıldı

4.837 GitHub Hesabı Ele Geçirilerek CI Gizli Bilgi Çalıcısı Çalıştırıldı

Aikido Security adlı güvenlik yazılımı şirketine göre, 12 Kasım 2026 Salı gününden itibaren bir saldırgan, ele geçirilmiş 4.837 GitHub hesabının çalınan kimlik bilgilerini kullanarak bu hesapların yazma erişimi olan depolara bir gizli bilgi çalıcısı yerleştirdi.

Bu çalıcı, bir deponun sürekli entegrasyon (CI) iş akışlarının erişebileceği gizli bilgileri ve bulut kimlik bilgilerini ele geçirmek üzere tasarlanmıştır. Şirket, saldırganın bu kimlik bilgilerini muhtemelen topladığı en az 1.806 depoda çalıştığını belirtiyor.

Her saldırı, hesabın depoya yazma yeteneğini test etmek amacıyla wfx-docs adlı bir daldan açılan ve başlığı “docs: dependency audit notes” olan bir çekme isteğiyle başladı. Bu test çekme istekleri 61.764 depoda açıldı ve bazılarında gizli bilgi çalıcısı devreye girdi.

SafeDep araştırmacıları, 12 Kasım Salı günü 12:46 UTC ile 13 Kasım Çarşamba günü 04:36 UTC arasında kötü niyetli commit’ler alan 8.093 depo tespit etti. Bu sayı, yalnızca çalıcının çalıştığı depoları değil, kötü niyetli commit’leri alan tüm depoları kapsamaktadır. Araştırmacılar, aramalarının yalnızca genel depoların varsayılan dallarını kapsadığını, bu nedenle gerçek toplamın daha yüksek olduğunu belirtiyor.

Bu depoların 7.309’unda çalıcı mevcut bir iş akışına eklendi. 771’inde ise bir npm postinstall hook’u olarak geldi ve bu da bir geliştiricinin makinesinde npm install sırasında çalıştı.

Çalıcıyı gönderdikten sonra, saldırgan genellikle dakikalar içinde değişikliği geri aldı. Çalıcının çalıştığı yerlerde, günlükleri ve genellikle çalıştırmanın kendisi de silindi. Bu depolarda, iş akışlarının erişebildiği her gizli bilgi ve bulut rolü tehlikeye girmiş kabul edilmelidir.

The Hacker News tarafından yapılan bir kontrol, şirketin kendi GitHub aramasının Çarşamba günü sona ermesinden sonra, 13 Kasım Çarşamba günü erken saatlerde aynı başlıkla daha fazla çekme isteği açıldığını tespit etti. 05:04 ile 05:38 UTC arasında kontrol edilen üç tanesi wfx-docs dallarından geliyordu. Çalıcının bu durumlarda da devreye girip girmediği belli değil.

Aikido, teknik analizinde, saldırganın test çekme isteklerinden birini açan herhangi bir hesabın, çalıcı hiç çalışmamış olsa bile tehlikeye girdiğini belirtti. Analiz, saldırganın kimlik bilgilerini nasıl elde ettiğini açıklamadı.

SafeDep araştırmacıları, etkilenen depoların sahiplerine commit yazarının token’larını, OAuth uygulama izinlerini, SSH anahtarlarını ve oturumlarını iptal etmelerini ve iki faktörlü kimlik doğrulamayı (2FA) açmalarını tavsiye ediyor. Sahipler ayrıca deponun okuyabildiği her gizli bilgiyi ve değişkeni değiştirmelidir. Etkilenen bir commit üzerinde npm install çalıştıran herkes, o makineyi tehlikeye girmiş kabul etmeli ve anahtarlarını değiştirmelidir.

Test alan diğer çoğu depoda, sonrasında hiçbir şey gönderilmedi veya çalıcı deponun ayarları veya hesabın izinleri nedeniyle çalışmadı. Rakamlar yalnızca şirketin görebildiği genel depoları kapsamaktadır.

Testler, ele geçirilmiş hesapların sahip olmadığı depolara da ulaştı. Test çekme isteklerinin 10.431’i işbirlikçi veya kuruluş erişimi aracılığıyla gönderildi ve bunların %92’si şirket kontrol ettiğinde hala açıktı.

Bir Deponun Saldırıya Uğradığına Dair İşaretler

Yazma erişiminiz olan herhangi bir depoda, 12 Kasım Salı gününden itibaren aşağıdaki işaretleri kontrol edin:

• Dal: wfx-docs
• Dal: chore/[a-z0-9]{8}, kısa ömürlü
• Dal: ci-check-[0-9]{4}
• Çekme isteği başlığı: docs: dependency audit notes
• Commit mesajı: ci: refresh build cache, mevcut bir iş akışına yaklaşık 1.500 satır ekler
• Commit mesajı: chore: add ci helper, bir .ci-xxxxxx.sh betiği ve package.json’da herhangi bir npm install’da çalışan bir postinstall hook’u ekler
• Commit mesajı: chore: add dependency audit workflow, bir chore/ dalında .github/workflows/build-audit-xxxxxx.yml ekler
• Commit mesajı: chore: initial commit, boş bir depoda yeni bir iş akışı dosyasından önce gönderildi
• Commit mesajı: ci: restore
• Commit mesajı: ci: cleanup
• SHA-256 (çalıcı betiği): 89695abb392d5cfd4972672961e644bb46baa98aa1ed7173c2a2816c762735cf
• IP: 194.150.166[.]244:8080/exfil
• IP: 18.143.168[.]96:8080/exfil
• IP: 153.75.82[.]159:8080

Bir depo wfx-loot eserleri, wfx-cache girişleri veya WFX-BEGIN adım özetleri göstermese bile veri kaybetmiş olabilir. Saldırganın commit’indeki eksik bir çalıştırma numarası, çalıcının çalıştığının daha güvenilir bir işaretidir.

SafeDep araştırmacıları, çalıcının verileri yukarıdaki adreslere veya bir Telegram sohbetine HTTP POST ile gönderdiğini tespit etti. 200 yük commit’i örneğinde, yaklaşık beşte biri yalnızca Telegram kullandı.

Şirkete göre, çalıcı çalıştırıcıdaki her kaynaktan kimlik bilgilerini toplamak üzere tasarlanmıştır. Bunlar arasında GitHub Actions gizli bilgileri ve değişkenleri, iş akışının GITHUB_TOKEN’ı, OIDC ve Actions çalışma zamanı token’ları, yapay zeka hizmetleri için anahtarlar ve çalıştırıcının kendi süreçlerinin belleğindeki gizli bilgiler bulunur. AWS, Azure, GCP, Kubernetes, npm, PyPI, SSH ve diğer araçlar için kimlik bilgisi dosyalarını olağan konumlarından okur.

Ayrıca depoyu, son 100 commit’i ve son iş akışı eserlerini de kopyalar. Kendi barındırılan çalıştırıcılarda, bulut kimlik bilgilerini örnek meta verilerinden, Docker kapsayıcı durumundan ve systemd birimlerinden de alır.

Çalıcının özel depolar için de ayarları vardır ve şirket bunun özel depolarda da çalışıyor olabileceğini öne sürdüğünü belirtiyor.

Çalıcı, bu kimlik bilgilerini bulut hesaplarına daha derinlemesine erişmek için kullanmak üzere tasarlanmıştır. GitHub OIDC token’larını AWS, GCP ve Azure oturumları için değiştirir ve AWS’de IAM kullanıcıları için uzun ömürlü erişim anahtarları oluşturabilir.

Bazı adımları kimlik bilgisi rotasyonundan sağ çıkmak üzere tasarlanmıştır. Bir AWS rolünün güven politikasını, rolü herhangi bir AWS hesabına açacak şekilde yeniden yazabilir.

Ayrıca, wfx-ci- önekli birleşik kimlik kimlik bilgilerini Azure AD uygulamalarına ekleyebilir. Tehlikeye girmiş depodaki iş akışları, tüm token’lar döndürüldükten sonra bile depolanmış bir gizli bilgi olmadan Azure’a giriş yapabilir.

Bu arka kapıları bulmak için araştırmacılar şunları kontrol etmeyi öneriyor:

• Entra ID: Oluşturmadığınız wfx-ci-* adlı birleşik kimlik bilgileri
• AWS CloudTrail: wfx-* adlı AssumeRoleWithWebIdentity veya AssumeRole oturumları, ardından CreateAccessKey veya UpdateAssumeRolePolicy
• GCP: GitHub iş yükü kimlik havuzunuzdan GenerateAccessToken ve SignJwt çağrıları
• Vault: GitHub OIDC vereninden JWT girişleri

Çalıcı, otomatik yayın tetikleyicileri aracılığıyla en az bir Packagist paketine ve bir Go modülüne ulaştı. Tehlikeye girmiş kullanıcılardan en az 50’si npm, Go, Packagist, PyPI veya crates için paket yayınlıyor gibi görünüyor.

Şirket, saldırganın paketler aracılığıyla yayılmaya çalışmaktan ziyade CI gizli bilgilerini hedeflediğini belirtiyor.

Packagist paketi digitalelvis/neuronai-studio’nun 3.14.3 sürümü kötü niyetlidir ve şirket, onu yükleyen veya açan herhangi bir makineyi tehlikeye girmiş kabul etmeyi tavsiye ediyor. Paket listesi, sürümün Çarşamba günü yayınlandığını gösteriyor. 13 Kasım Çarşamba günü erken saatlerde, sürüm hala kötü amaçlı yazılım olarak işaretlendiğine dair bir uyarı altında listeleniyordu.

Araştırmacılar, normal bir composer install’ın çalıcıyı çalıştırmadığını, ancak paketin vendor dizini içinde npm install çalıştırmanın çalıcıyı çalıştırdığını tespit etti. Kullanıcılar v3.14.3’ü engellemeli ve v3.14.2 veya daha önceki sürümleri kullanmalıdır.

Araştırmacılar ayrıca başka bir Go modülü olan github.com/vkuznet/gocurl’da, v0.0.0-20261111095532-8d5aad0cb0da sözde sürümünde, hiç çalışmamış bir iş akışı dosyasının içinde çalıcıyı buldu. Kullanıcılar bu sözde sürümü engellemelidir.

Çalıcı ayrıca wdio-bot bot hesabı olarak yazılan commit’ler aracılığıyla 28 WebdriverIO deposuna ulaştı. Hiçbir paket sürümü etkilenmedi, ancak botun token’ı çalınmış kabul edilmelidir.

Şirket, bu hafta kullanılan hesapların GhostAction’ın Ekim ayındaki saldırı dalgasında etkilenenlerle örtüştüğünü tespit etti. Ekim ayındaki saldırıda, çalınan GitHub hesapları depolara gizli bilgi çalan iş akışları göndermişti.

Ekim ayında etkilenen hesapların, diğer aktif hesaplara göre bu hafta kullanılma olasılığı yaklaşık 1.000 kat daha fazlaydı. 100’den fazla depoda, yeni çalıcı Ekim ayının iş akışı dosyalarına eklendi ve eski veri gönderme adımı yerinde bırakıldı.

Aikido, altyapı, araçlar ve yöntemler farklı olduğu ve çalınan kimlik bilgilerinin genellikle birden fazla saldırganın eline geçtiği için “Kasım ayındaki saldırıyı bu aşamada aynı aktöre atfetmiyoruz” dedi.