حمله زنجیره‌ای تأمین (supply chain attack) که ابتدا کوین‌بیس را هدف قرار داد و سپس به کاربران “tj-actions/changed-files” گیت‌هاب اکشن گسترش یافت، به سرقت یک توکن دسترسی شخصی (PAT) مرتبط با SpotBugs ردیابی شده است. بر اساس گزارش یونیت ۴۲ پالو آلتو نتورکس، مهاجمان با سوءاستفاده از گردش کار گیت‌هاب اکشنز SpotBugs – ابزار محبوب متن‌باز برای تحلیل استاتیک باگ‌ها – دسترسی اولیه را به دست آوردند و توانستند بین مخازن SpotBugs حرکت جانبی کرده و در نهایت به reviewdog دسترسی پیدا کنند.
شواهد نشان می‌دهد که فعالیت مخرب از نوامبر ۲۰۲۴ آغاز شده، اگرچه حمله به کوین‌بیس تا مارس ۲۰۲۵ اتفاق نیفتاد. مهاجمان با استفاده از نام کاربری یکبار مصرف “jurkaofavak” یک فایل گردش کار مخرب گیت‌هاب اکشنز را به مخزن “spotbugs/spotbugs” ارسال کردند که باعث نشت PAT نگهدارنده شد. این کاربر مخرب در ۱۱ مارس ۲۰۲۵ توسط یکی از نگهدارندگان پروژه به عنوان عضو به مخزن دعوت شده بود. یونیت ۴۲ تأیید کرد که مهاجمان از طریق ایجاد یک pull request با نام کاربری “randolzfow” و سوءاستفاده از تریگر “pull_request_target” که امکان دسترسی به اسرار را فراهم می‌کند، حمله تسمیم پایپ‌لاین (PPE) را انجام دادند.
کلمات کلیدی : حمله زنجیره‌ای تأمین, supply chain attack, گیت‌هاب اکشن, SpotBugs, توکن دسترسی شخصی, تسمیم پایپ‌لاین
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.