Was ist passiert?
Sicherheitsforscher haben eine großangelegte Kampagne aufgedeckt, bei der Angreifer kompromittierte GitHub-Repositories als verteilte Angriffs-Infrastruktur missbraucht haben. Ziel waren cPanel- und WebHost Manager (WHM)-Server. Die Attacke nutzte manipulierte Packagist-Entwicklerversionen von 10 Paketen eines legitimen PHP- und DevOps-Entwicklers (dinushchathurya) zwischen dem 12. und 13. Juli.
Hintergrund & Bedeutung
GitHub Actions Runner sind beliebte Ziele für Angreifer, da sie für automatisierte Workflows verwendet werden und oft mit kritischen Systemen verbunden sind. Durch die Kompromittierung von Repositorys erhalten Angreifer Zugang zu wertvollen Systemen wie Hosting-Infrastrukturen. cPanel und WHM sind Administrations-Tools für Webserver, die Tausende von Websites verwalten – eine sehr attraktive Zielscheibe. Diese Art von Supply-Chain-Angriffen unterstreicht die Bedeutung von Identitäts- und Zugriffskontrolle im Zero-Trust-Ansatz.
Empfehlungen für IT-Teams
- Abhängigkeiten regelmäßig prüfen: Implementieren Sie automatisierte Scans für verdächtige Paket-Versionen und unbekannte Dependencies.
- Access Control verstärken: Nutzen Sie Multi-Faktor-Authentifizierung und Least-Privilege-Prinzipien für GitHub- und Server-Zugriffe.
- GitHub Actions absichern: Beschränken Sie Runner auf vertrauenswürdige Netzwerke und monitoren Sie verdächtige Aktivitäten.
- Regelmäßige Audits: Führen Sie Sicherheitsprüfungen kompromittierter Accounts durch.
Fazit
Diese Kampagne zeigt, wie wichtig Zero-Trust-Security und kontinuierliche Überwachung von Entwickler-Tools sind. Unternehmen sollten ihre Supply-Chain-Sicherheit sofort überprüfen.
Quelle: Original Artikel