Была обнаружена масштабная автоматизированная кампания по внедрению бэкдоров в репозитории GitHub, в ходе которой в публичные репозитории были внесены тысячи вредоносных коммитов под видом рутинного обслуживания CI/CD.
Исследователи из SafeDep зафиксировали кампанию под названием Megalodon, затронувшую более пяти тысяч репозиториев в течение шестичасового окна 18 мая. Атака была реализована в виде вредоносного коммита «acac5a9», нацеленного на рабочие процессы GitHub Actions.
Неожиданные запуски workflow_dispatch во вкладке Actions могут служить предупреждающим знаком, отметили исследователи в посте в блоге. «Если вы используете федерацию OIDC для развертывания в облаке, проверьте журналы аудита облака на предмет запросов токенов от неизвестных запусков рабочих процессов».
Вредоносные коммиты изменяли рабочие процессы Github Actions, добавляя в них закодированные в base64 полезные нагрузки bash, предназначенные для кражи секретов, раскрываемых во время выполнения CI, включая учетные данные облачных сервисов, SSH-ключи, токены OpenID Connect (OIDC), секреты исходного кода и другие переменные окружения.
Среди наиболее пострадавших проектов оказались репозиторий ioLibrary_Driver компании Wiznet, четыре репозитория Tiledesk и четыре репозитория persian-tools; на них пришлось более 2000 вредоносных коммитов.
В более позднем посте в блоге от OX Security были отмечены некоторые сходства с широкомасштабными компрометациями TeamPCP, в частности, использование жестко закодированных исторических дат коммитов. Этот прием использовался в операциях, связанных с TeamPCP, для сокрытия истинного времени вредоносной активности.
Автоматизированная атака с использованием скомпрометированных ключей
Исследователи SafeDep сообщили, что кампания Megalodon внесла 5 718 вредоносных коммитов в 5 561 публичный репозиторий GitHub примерно за шесть часов, в основном путем злоупотребления скомпрометированными учетными данными для прямого изменения рабочих процессов GitHub Actions.
Кампания была обнаружена при расследовании файла рабочего процесса Tiledesk GitHub Actions, скрывающего полезную нагрузку bash, закодированную в base64.
«Версии 2.18.6 (19 мая) по 2.18.12 (21 мая) содержат бэкдор», — заключили исследователи после предварительного расследования.
Дальнейшее сравнение версий Tiledesk, ставших объектом атаки, с их легитимными предшественниками привело исследователей к вредоносному коммиту. «Вредоносный коммит был внесен 18 мая 2026 года, автор build-bot <build-system@noreply.dev> с сообщением ‘ci: add build optimization step’», — заявили они. «Имя автора и общий адрес noreply имитируют автоматические коммиты CI».
Коммит был отправлен без pull request (PR) или merge commit, что, по мнению исследователей, было сделано с использованием скомпрометированного Personal Access Token (PAT) или ключа развертывания. Они предупредили, что на момент публикации раскрытия информации вредоносный коммит оставался активным в «master branch».
Помимо «build-bot», кампания также использовала другие поддельные авторские идентификаторы, такие как «auto-ci» и «ci-bot».
Кампания распространила два варианта полезной нагрузки. Первый, «SysDiag», внедрял обфусцированные полезные нагрузки bash непосредственно в рабочие процессы, срабатывая автоматически при каждом push или PR, в то время как второй, «Optimize-Build», использовал поэтапный подход с workflow_dispatch для выполнения вредоносного рабочего процесса только при необходимости. Последний, использованный при компрометации Tiledesk, оказался операционно шумным и оставил обнаружимые следы.
Оба варианта нацелены на конфиденциальные секреты CI, включая учетные данные AWS и GCP, SSH-ключи, конфигурации Kubernetes, токены GitHub OIDC, секреты исходного кода и историю командной оболочки. Украденные секреты эксфильтровались на инфраструктуру, контролируемую злоумышленниками, по адресу 216.126.225.129:8443.
SafeDep предоставила список индикаторов компрометации (IOC), включая домен C2, сигнатуру кампании, имена и адреса электронной почты авторов, сообщения коммитов и названия скомпрометированных репозиториев GitHub, чтобы помочь в обнаружении и очистке.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
