Gheist adlı tehdit aktörü, 15 Eylül’den bu yana ele geçirdiği GitHub hesaplarını kullanarak GitHub Actions üzerinden hassas verileri çalmaya yönelik geniş çaplı bir kampanya yürütüyor. Wiz Research tarafından tespit edilen bu saldırı, 850’den fazla hesapta 13.500’den fazla zararlı dal oluşturarak hem kişisel hem de kurumsal özel depoları hedef alıyor. Saldırganlar, otomatikleştirilmiş iş akışları sayesinde ortam değişkenlerini ve gizli anahtarları log dosyalarına yazdırıp GitHub API aracılığıyla dışarı sızdırıyor. Ardından, iz bırakmamak adına bu iş akışlarını saniyeler içinde silerek tespit edilmeyi zorlaştırıyorlar.
- Gheist grubu, GitHub Actions otomasyonunu kötüye kullanarak 850’den fazla hesaptaki gizli verileri sızdırıyor.
- Saldırganlar, gizli verileri şifreleyerek GitHub’ın maskeleme mekanizmalarını devre dışı bırakıyor.
- Özel depolar ve kurumsal sunucular, saldırılara karşı savunmasız kalmaya devam ediyor.
- Uzmanlar, güvenlik ekiplerinin “ci-sync-” ile başlayan şüpheli dal isimlerini acilen incelemesi gerektiğini belirtiyor.
Gheist Saldırıları Nasıl Gerçekleştiriliyor?
Saldırıların temelinde, GitHub Actions’ın esnek yapısının kötüye kullanımı yatıyor. Tehdit aktörleri, ele geçirdikleri hesaplarda “sync-check” adını verdikleri iş akışları oluşturuyor. Normal şartlarda GitHub, hassas verileri log dosyalarında otomatik olarak maskeler. Ancak Gheist, bu verileri Base32 formatında kodlayarak maskeleme sistemini atlatmayı başarıyor. Bu yöntem, verilerin doğrudan okunabilir metin yerine kodlanmış halde loglara yansımasını sağlıyor.
Saldırganlar, iş akışı tamamlanır tamamlanmaz verileri API üzerinden çekiyor ve izleri silmek için ilgili iş akışını anında yok ediyor. Wiz araştırmacıları, bu yöntemin en tehlikeli kısmının, verilerin GitHub’ın kendi altyapısı üzerinden dışarı çıkarılması olduğunu vurguluyor. Dışarıdan bir domain adresine bağlantı kurulmadığı için geleneksel güvenlik duvarı kuralları saldırıyı engellemede etkisiz kalıyor.
Saldırı Kapsamı Genişlemeye Devam Ediyor
Gheist, sadece depo düzeyindeki gizli verilerle yetinmiyor. Saldırıların daha gelişmiş aşamalarında, kendi kendine barındırılan (self-hosted) GitHub Actions çalıştırıcıları da hedef alınıyor. “sync-host” adlı ek bir iş akışı ile saldırganlar; API anahtarlarını, özel sertifikaları, Docker soketlerini ve hatta Kubernetes hizmet hesabı token’larını ele geçirmeye çalışıyor. Bu durum, saldırganların bulut ortamlarına sızmak için gereken tüm yetkilere erişebileceği anlamına geliyor.
Wiz tarafından yapılan analizler, aynı organizasyona ait bulut kimlik bilgilerinin saldırıdan saatler sonra AWS Secrets Manager üzerinde kullanıldığını doğruladı. Bu durum, saldırının sadece kod depolarını değil, doğrudan canlı üretim sistemlerini de tehdit ettiğini kanıtlıyor. Özellikle Trivy gibi tedarik zinciri bileşenlerindeki eski açıklardan sızan kimlik bilgileri, bu saldırıların temel kaynağı olarak görülüyor.
Kurumsal Güvenlik İçin Önlemler Alınıyor
GitHub, halka açık depolarda bu tür şüpheli aktiviteleri engellemek için onay mekanizmaları geliştirdi. Ancak bu koruma, saldırıların en yoğun gerçekleştiği özel depolarda ve GitHub Enterprise Server üzerinde yeterli etkiyi göstermiyor. Güvenlik ekiplerinin, sistemlerinde “ci-sync-” önekiyle başlayan yeni dalları veya “ci: sync config” başlıklı commit’leri vakit kaybetmeden taraması büyük önem arz ediyor.
Yetkililer, sadece şüpheli dalları silmenin yeterli olmadığını, ele geçirilen tüm token’ların iptal edilmesi ve ilgili tüm gizli anahtarların döndürülmesi (rotate) gerektiğini hatırlatıyor. Bulut ortamlarında gerçekleştirilen rol atamalarının da detaylıca incelenmesi, saldırganların bıraktığı diğer izlerin tespit edilmesine yardımcı olabilir.
GitHub Actions üzerindeki bu tür sofistike saldırılar hakkında ne düşünüyorsunuz? Kendi projelerinizde benzer bir güvenlik önlemi alıyor musunuz veya bu konuda yaşadığınız tecrübeleri bizimle aşağıda paylaşmak ister misiniz?
