github actions'da açık kapı bırakmışlar, 340+ repo'ya kötü niyetli workflow dağıtılmış

arkadaşlar, github’da ciddi bir olay çıktı. açık kaynak dünyasında tanınmış geliştirici hesapları ele geçirilmiş ve bu hesaplardan kötü niyetli workflow’lar 340’tan fazla repository’ye itilmiş. yani github actions’da yapılan işleri kontrol etmiyorsanız, şu anda malware yayılıyor olabilirsiniz.

ne olmuş, niye böyle?

stepsecurity’nin bulduğu şeye göre, saldırganlar takashi kitao’nun (18.400 yıldızlı pyxel oyun motoru’nun yazarı) github hesabını ele geçirmişler. sonra bu hesaptan 27 repository’ye kötü niyetli workflow pushlamışlar. 13:20 utc’de başlamış bu olay.

spoiler: bu sadece bir hesap değil, daha fazla hesap da ele geçirilmiş olabilir. yani bu kamusal buz dağının sadece tepesi.

bu workflow’lar ne yapıyor?

şöyle ki, github actions workflow dosyaları (.github/workflows/ klasöründeki yaml dosyaları) repository’de kod çalıştırmak için kullanılıyor. saldırganlar bunu kullanarak:

• kimlik bilgilerini çalıyor (credentials theft) - yani api key’ler, token’lar, ssh key’ler
• çevresel değişkenleri sızdırıyor - secrets’lar, passwordlar
• build artifact’larını manipüle ediyor - derlenmiş kodları zehirleyebiliyorlar
• diğer repository’lere erişim sağlıyor - bir repo’da başlayan saldırı domino etkisiyle yayılabiliyor

kim etkileniyor?

yapmanız gerekenler (acil):

1. repository’lerinizi kontrol edin:

# .github/workflows/ klasörüne bakın
# son 24 saatte yeni dosya eklenmiş mi?
# workflow dosyalarında suspicious komutlar var mı?
# (curl, wget, base64, env dump, credential export vb.)

find .github/workflows -type f -name "*.yml" -o -name "*.yaml" | while read file; do
  echo "=== $file ===" 
  cat "$file"
done

2. commit history’yi kontrol edin:

# son pushları görmek için
git log --oneline -20

# workflow dosyalarındaki değişiklikleri görmek için
git log -p .github/workflows/

# şüpheli commit'leri geri almak için (eğer saldırıya uğradıysanız)
git revert <commit-hash>
git push origin main

3. github security log’unu kontrol edin:

• Repository → Settings → Security & analysis → Security log
• Son aktivitelere bakın, tanımadığınız IP’ler var mı?
• Workflow’lar ne zaman tetiklendi?

4. secrets’ları rotate edin:

# eğer workflow'lar secrets'lara erişebiliyorsa, hemen değiştirin:
# - API key'ler
# - Database password'ler
# - SSH key'ler
# - npm token'lar
# - docker registry token'lar
# vb. herşey

# github'da Settings → Secrets and variables → Actions
# bütün secret'ları silin ve yenisini oluşturun

5. branch protection kurallarını kontrol edin:

Settings → Branches → Branch protection rules
- "Require pull request reviews" açık mı?
- "Require status checks to pass" açık mı?
- "Require branches to be up to date" açık mı?

geçici çözümler (hemen yapabilirsiniz):

workflow’ları disable edin (geçici):

# tüm workflow'ları devre dışı bırakmak için
# Settings → Actions → Disable all workflows
# veya
# .github/workflows klasöründeki dosyaları rename edin
# .github/workflows-disabled klasörüne taşıyın

github actions’a sınır koyun:

Settings → Actions → Runner groups
- Self-hosted runner'ları kontrol edin
- Sadece güvenilir repository'lere izin verin

branch protection zorunlu kılın:

Settings → Branches → Add rule
- Require pull request reviews before merging
- Require code owners review
- Require status checks to pass before merging

edit: cisa de kendi güvenlik danışmanlığını yayınlamış

bu olay sadece github’a özgü değil. bütün ci/cd sistemlerinde bu risk var:

• gitlab ci
• jenkins
• circleci
• travis ci
• github actions
• bitbucket pipelines

hepsi potansiyel saldırı vektörü.

edit 2: stepsecurity’nin bulguları

stepsecurity şu bulguları paylaşmış:

• 340+ repository etkilenmiş
• en az 2 yüksek profilli geliştirici hesabı ele geçirilmiş
• credential theft yapılmış
• workflow dosyaları silme işlemi yapılmış (cover-up)

kaynaklar:

• The Hacker News - Credential-Stealing GitHub Actions Workflows
• GitHub Actions Security Best Practices
• StepSecurity - GitHub Actions Security
• CISA - CI/CD Security Guidance

son uyarı:

• yedek almadan workflow’ları silmeyin, önce git history’yi kontrol edin
• açık kaynak projeyseniz, kullanıcılarınızı uyarın
• corporate environment’ta infosec team’inize haber verin
• github’ın security advisory’sini takip edin

Bu içerik yapay zeka tarafından oluşturulmuştur.