ghostaction denen saldırı grubunun yeni numarası: yazı tipi kılığında credential stealer

arkadaşlar, github’da ciddi bir supply chain saldırısı var. ghostaction diye bir saldırgan grubu var, bunlar açık kaynak projelere saldırıp kötü niyetli github actions workflow’ları enjekte ediyordu. şimdi ise biraz daha sofistike bir yöntem geliştirmişler: fake font dosyası içine credential stealer yazılımı gizlemişler ve 94 tane github repository’sine bunu yaymışlar.

neler oluyor?

spoiler: bu açık bir supply chain saldırısı ve ciddi ciddi dikkat etmeniz gerekiyor. saldırganlar artık sadece github actions’ı kullanmakla kalmıyor, geliştirici makinelerine doğrudan erişim sağlayan malware dağıtıyorlar.

saldırının özü şu:

• saldırganlar açık kaynak projelerin github hesaplarına erişiyorlar
• projelere fake font dosyası (örneğin .ttf veya .otf) ekliyorlar
• geliştiriciler bunu “standart” bir font dosyası sanıp indiriyorlar
• arka planda ise bu dosya credential stealer malware’i çalıştırıyor
• geliştiricinin github token’ı, ssh key’leri, api credential’ları vs. çalınıyor

etkilenen şeyler

neden bu kadar tehlikeli?

şunu bi anlayın: bir açık kaynak projenin github’ı ele geçerse, saldırgan o proje üzerinden milyonlarca insana malware dağıtabilir. örneğin bir popüler npm package’i ele geçirilse, o package’i kullanan tüm projeler bulaşıyor. bu da supply chain saldırısının en kötü versiyonu.

plus, credential stealer yazılımı geliştiricinin tüm kimlik bilgilerini çalıyor:

• github token’ları
• ssh private key’leri
• api key’leri
• aws credential’ları
• docker registry token’ları
• vs. vs.

yapmanız gerekenler (acil)

1. github hesabınızı kontrol edin

# github'da şu adımları atın:
# 1. Settings > Personal access tokens > Fine-grained tokens
# 2. Tüm token'ları kontrol et
# 3. Son 30 gündür kullanılmayan token'ları sil
# 4. Settings > SSH and GPG keys kontrol et
# 5. Tanımadığın key'leri sil

2. credential’ları rotate edin

# ssh key'lerinizi yeniden oluşturun
ssh-keygen -t ed25519 -C "your_email@example.com"

# eski key'leri github'dan çıkarın
# yeni key'leri ekleyin

3. son indirdiklerinizi kontrol edin

# font dosyaları kontrol et
# ~/.local/share/fonts (linux)
# ~/Library/Fonts (macos)
# C:\Windows\Fonts (windows)

# son 30 gündeki indirmeleri gözden geçir
# özellikle github repo'larındaki font dosyaları

4. malware taraması yapın

# linux/macos için
# virustotal.com'a font dosyalarını yükle ve tara

# windows için windows defender'ı çalıştır
# settings > virus & threat protection > scan options

5. github activity log’unuzu kontrol edin

• github.com > settings > security log
• son 30 gündeki aktiviteleri gözden geçir
• tanımadığın login veya push’ları ara
• şüpheli aktivite görürsen password’ü hemen değiştir

geçici çözümler

font dosyalarından şüphe duyarsanız:

• github’dan indirdiğiniz font dosyalarını virustotal.com’a yükleyin
• dosya türünü kontrol edin (gerçekten .ttf mi, yoksa executable mi?)
• dosyanın hash’ini kontrol edin
• trusted source’tan değilse silip yenisini indirin

github token’larınız için:

• personal access token’ları mümkün olduğunca kısa ömürlü yapın
• fine-grained token’lar kullanın (genel permission vermeyin)
• token’ları environment variable’lar içinde saklamayın

kim etkileniyor?

• 94 tane github repository’si kontamine edilmiş
• açık kaynak geliştirici topluluğu
• bu projeleri kullanan tüm projeler potansiyel tehlike altında
• npm, pip, cargo vb. package manager’lar üzerinden yayılabilir

edit: cisa uyarısı

cisa de bu saldırıyı kataloguna ekledi. kritik olarak işaretlemişler. yani federal kurumlar da dikkat etsin diye uyarı vermiş. ciddi bir durum bu.

edit 2: openSourceMalware tespiti

openSourceMalware team’i bu saldırıyı detaylı olarak analiz etmiş. şu bulguları paylaşmışlar:

• font dosyaları gerçekten kötü amaçlı
• credential stealer’ı çok sofistike
• saldırganlar aktif olarak geliştirme yapıyor
• 94 repo’dan sadece bulduğumuz kısım, daha fazlası olabilir

kaynaklar

• The Hacker News - GhostAction Attackers Article
• OpenSourceMalware Analysis
• GitHub Security Log
• CISA Supply Chain Security

son söz

arkadaşlar, bu tür supply chain saldırıları giderek sofistike hale geliyor. sadece github actions’a güvenmeyin, indirdiğiniz her şeyi kontrol edin. özellikle açık kaynak kullanıyorsanız, dependency’lerinize dikkat edin. ve çok önemli: credential’larınızı rotate etmeyi unutmayın.

yedek almadan credential’ları değiştirmeyin, sonra sıkıntı yaşarsınız. test ortamında önce deneyin.

Bu içerik yapay zeka tarafından oluşturulmuştur.