Was ist passiert?
Eine neue Kampagne namens „Cordyceps“ zielt gezielt auf CI/CD-Pipelines ab, indem böswillige Pull Requests in populäre Open-Source-Projekte eingespielt werden. Die Angreifer haben dabei hochrangige Repositories wie Microsoft Azure Sentinel, Googles AI Agent Development Kit, Apache Doris, Cloudflares Workers SDK und das Python Black-Projekt ins Visier genommen. Ziel ist es, schadhafte Code-Änderungen in den Entwicklungsworkflow einzuschleusen.
Hintergrund & Bedeutung
Diese Supply-Chain-Attacke offenbart eine kritische Schwachstelle in modernen CI/CD-Workflows: Die Abhängigkeit von automatisierten Prozessen und Third-Party-Beiträgen schafft Angriffsfläche. Wenn böswillige Pull Requests nicht ausreichend überprüft werden, können sie zur Kompromittierung von Millionen Endnutzern führen, die diese Bibliotheken verwenden. Besonders kritisch ist die Tatsache, dass etablierte Projekte wie die genannten als vertrauenswürdig gelten und daher weniger gründlich überprüft werden könnten.
Empfehlungen für IT-Teams
Code-Review-Prozesse verschärfen: Implementieren Sie verpflichtende mehrschichtige Reviews, insbesondere für externe Beiträge.
Automatisierte Sicherheitstests: Nutzen Sie SAST- und Dependency-Scanning-Tools, um verdächtige Muster automatisch zu erkennen.
Branch-Protection-Regeln: Aktivieren Sie strenge Kontrollmechanismen auf kritischen Branches und erfordern Sie Genehmigungen vor Merges.
Contributor-Verifizierung: Implementieren Sie Identitätsprüfungen und Vertrauensbewertungssysteme für neue Contributors.
Monitoring: Überwachen Sie ungewöhnliche Aktivitäten in Ihren Repositories kontinuierlich.
Fazit
Die Cordyceps-Kampagne zeigt, dass Supply-Chain-Sicherheit nicht optional ist. Organisationen müssen ihre CI/CD-Pipelines mit mehrschichtigen Kontrollen absichern und aktiv gegen diese wachsende Bedrohungsklasse vorgehen.
Quelle: Original Artikel