GitHub Actions-Kompromittierung: Workflow-Zugangsdaten werden an Angreifer-Domäne gestohlen

Sicherheitslage und Risiko

Das Vorfall folgt einem wachsenden Muster von Supply-Chain-Angriffen, die Entwicklerwerkzeuge ins Visier nehmen. Dabei suchen Angreifer nach hochwirksamen Einstiegspunkten, mit denen sie über eine einzige vergiftete Abhängigkeit zahlreiche Organisationen gleichzeitig kompromittieren können.

CI/CD-Pipelines sind zu einem bevorzugten Angriffsziel geworden, da sie häufig leistungsstarke Zugangsdaten für Cloud-Dienste, Code-Repositories und Bereitstellungssysteme enthalten.

Wie der Angriff Geheimnisse erntet: Sobald sich der bösartige Commit innerhalb einer GitHub Actions-Pipeline ausführt, startet er eine sorgfältig vorbereitete Abfolge von Schritten.

Das Payload lädt zunächst die Bun-JavaScript-Laufzeitumgebung

Das Payload lädt zunächst die Bun-JavaScript-Laufzeitumgebung in die Runner-Umgebung herunter und startet daraufhin einen Python-Prozess, der den Adressraum des Runner.Worker-Prozesses ausliest – spezifisch über den Pfad /proc//mem.

Dies ist der Speicherort, an dem GitHub Actions entschlüsselte Workflow-Geheimnisse während der aktiven Ausführung eines Jobs speichert. Anschließend filtert das Payload diesen Speicherauszug mit Standard-Unix-Tools und extrahiert alle Werte, die mit dem internen Flag „isSecret":true markiert sind.

Von dort aus wird der GitHub-Authentifizierungstoken abgerufen, die Berechtigungen über `sudo python3` eskaliert und die gesammelten Anmeldeinformationen über eine ausgehende HTTPS-Verbindung auf Port 443 an die Domain des Angreifers, t.m-kosche.com, gesendet.

Technik und Auswirkungen

Das eigene Repository-Interface von GitHub hat den gefälschten Commit 1c9e803 mit einer Warnung markiert, da dieser keiner Branch zugeordnet ist; dennoch war er über die verschobenen Tags weiterhin erreichbar.

Erkennung und empfohlene Schritte: Das Tool Harden-Runner von StepSecurity erkannte den Angriff in Echtzeit, indem es den Bun-Download, den verdächtigen Speicherleseprozess und die unerwartete ausgehende Netzwerkverbindung zu t.m-kosche.com meldete.

Workflows, die hinter Harden-Runner ausgeführt wurden, führten dazu, dass die Domain des Angreifers auf Netzwerkebene automatisch blockiert wurde, sodass die Anmeldeinformationen den Runner nicht verlassen konnten, selbst wenn der bösartige Code vollständig ausgeführt wurde.

Technik und Auswirkungen

Der Angreifer versuchte, sich zu tarnen, indem er jedem gefälschten Commit eine Fake-Nachricht im Stil der offiziellen Release-Notes des legitimen Maintainers hinzufügte; die eng gruppierten Erstellungszeitstempel enthüllten jedoch den Betrug sofort.

Teams, die von den betroffenen Aktionen betroffen sind, werden dringend empfohlen, ihre Workflows an einen vollständigen, verifizierten Commit-SHA zu binden, anstatt auf eine schwimmende Versions-Tag zu verweisen, da Tags ohne Benachrichtigung der Konsumenten stillschweigend verschoben werden können.

Sicherheitsteams sollten kürzlich ausgeführte Workflow-Läufe prüfen, die auf actions-cool/issues-helper oder actions-cool/maintain-one-comment verwiesen haben, und alle freigelegten Tokens oder Geheimnisse als vollständig kompromittiert behandeln. Das Rotieren aller Pipeline-Geheimnisse ist der sicherste und dringendste Schritt.

Jeder ausgehenden Datenverkehr zu t.m-kosche.com, der

Jeder ausgehenden Datenverkehr zu t.m-kosche.com, der in CI/CD-Protokollen beobachtet wurde, ist als bestätigtes Anzeichen für einen Diebstahl von Zugangsdaten zu werten.

Indikatoren für Kompromittierungen (IoCs): Bereich: Indikator: t.m-kosche.com; Beschreibung: Von Angreifern kontrollierte Domain zur Datenexfiltration; empfängt verschlüsselte Zugangsdaten, die aus dem Arbeitsspeicher von Runner.Worker extrahiert wurden.

Dateipfad: Indikator: /home/runner/.bun/bin/bun; Beschreibung: Pfad, an dem die schädliche Last von der malizösen Payload das Bun-JavaScript-Runtime heruntergeladen wird. Dateipfad: Indikator: /proc//mem; Beschreibung: Speicherpfad, der vom malizigen Python-Kindprozess gelesen wird, um entschlüsselte Geheimnisse zu extrahieren.

Technischer Hintergrund

Prozess: Indikator: python3 (sudo); Beschreibung: Erweiteter Python-Prozess, der zum Lesen des Runner-Speichers und zum Weiterleiten von Geheimniswerten verwendet wird. Befehl: Indikator: gh auth token; Beschreibung: Befehl zum Abruf des GitHub-Authentifizierungstokens vom Runner.

Commit-SHA: Indikator: 1c9e803c80cc7fed000022d4c94f4b5bc2e90; Beschreibung: Primärer Imposter-Commit für actions-cool/issues-helper v3.8.0; von GitHub als „dangling" markiert. Commit-Hash: Indikator: f0448c62fc57b8a5ce23d8acd6e795cdd76a3; Beschreibung: Imposter-Commit für actions-cool/issues-helper v3.7.6.

Commit-Hash: Indikator: 7f6120bb10c870b9fde146961a18e5bf0b3d4; Beschreibung: Imposter-Commit für actions-cool/maintain-one-comment v3.3.0. Commit-Hash: Indikator: 4a6ac28684e2b0c48d502b31363ec5dd72f9d; Beschreibung: Imposter-Commit für actions-cool/maintain-one-comment v3.2.1.

Sicherheitslage und Risiko

Netzwerk: Indikator: Port 443 (HTTPS) ausgehend an t.m-kosche.com; Beschreibung: Kanal, der zur Exfiltration abgefangener Zugangsdaten vom Runner verwendet wurde. Datei: Indikator: index.js (ausgeführt via bun); Beschreibung: Einstiegspunkt-Datei in JavaScript, die vom Bun-Runner als Teil der Malware ausgeführt wird.

Hinweis: IP-Adressen und Domains sind absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinking zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein leitender Cybersicherheits- und Datenschutzverletzungsreporter.

Er spezialisiert sich auf Berichterstattung über Cybersicherheitsnachrichten, Trends und neu auftretende Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. 600+ npm-Pakete kompromittiert bei neuem Mini-Shai-Hulud-Versorgungskettenangriff.

Microsoft Edge stoppt das Laden gespeicherter Passwörter in den Arbeitsspeicher beim Start. Neue VoidStealer-Malware umgeht Chromes Schutzmechanismen, um Benutzerdaten zu stehlen.