- Campanii masive de recunoaștere folosesc conturi „fantomă” pentru a hărțui organizațiile de pe GitHub, exploatând API-ul platformei.
O nouă campanie de recunoaștere la scară largă folosește conturi „fantomă” pentru a cartografia organizațiile de pe GitHub, inclusiv depozitele și membrii acestora. Atacatorii abuzează de API-ul GitHub pentru a colecta informații detaliate, fără a fi detectați ușor. Descoperirea, raportată de cercetătorii de securitate, subliniază o vulnerabilitate gravă în modul în care platforma gestionează autentificarea și limitarea accesului.
Cum funcționează atacul
Conturile fantomă sunt conturi GitHub create în masă, fără activitate legitimă, care exploatează API-ul pentru a extrage date sensibile. Prin interogări repetate, atacatorii pot identifica structura organizațiilor, depozitele private publice (prin metadata) și lista membrilor. Folosind automate scripturi, aceștia pot evita limitele ratei API tradiționale, deghizând cererile ca venind de la utilizatori diferiți.
Miza reală: recunoaștere pentru atacuri țintite
Informațiile colectate sunt esențiale pentru etapele ulterioare ale unui atac cibernetic. Cartografierea precisă a echipei de dezvoltare și a proiectelor poate ajuta la identificarea inginerilor cheie, a vulnerabilităților din cod sau a integrărilor externe. Astfel, atacatorii își pot personaliza metodele de phishing, social engineering sau chiar exploatare directă a depozitelor compromise.
De ce este greu de detectat
GitHub aplică limite de rată per cont, dar utilizarea a mii de conturi fantomă face ca traficul să pară distribuit. În plus, multe dintre aceste conturi sunt create cu adrese de email temporare și nu ridică semnale de alarmă imediate. Cercetătorii subliniază că platforma ar trebui să implementeze verificări mai stricte de identitate și să monitorizeze tiparele de acces anormale.
Ce înseamnă pentru tine
Dacă ești administrator sau dezvoltator pe GitHub, iată cum te poate afecta această campanie:
- Expunerea membrilor echipei: Informațiile despre membri pot fi folosite pentru atacuri de phishing personalizat. Revizuiește setările de confidențialitate și limitează vizibilitatea listelor de membri publici.
- Revizuirea permisiunilor API: Asigură-te că cheile API și token-urile de acces au cele mai mici privilegii necesare. Activează autentificarea multifactorială pentru conturile cu acces administrativ.
- Monitorizarea activității suspecte: Urmărește jurnalele de acces API și semnalează orice tipar de acces neobișnuit, cum ar fi cereri frecvente de la conturi noi sau fără activitate anterioară.