Überprüfung von GitHub-Repositories auf verdächtige Commits und CI/CD-Workflow-Änderungen, insbesondere von unbekannten oder gefälschten Autoren.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Megalodon GitHub Attack Targets 5,561 Repos with Malicious CI/CD Workflows
Cybersecurity researchers have disclosed details of a new automated campaign called Megalodon that has pushed 5,718 malicious commits to 5,561 GitHub repositories within a six-hour window. "Using throwaway accounts and forged author identities (build-bot, auto-ci, ci-bot, pipeline-bot), the...
SecBoard-Einordnung
Diese Kampagne kann die Integrität von Software-Lieferketten kompromittieren, indem bösartige Workflows in CI/CD-Pipelines eingeschleust werden. Dies kann zur Ausführung von unerwünschtem Code oder zur Datenexfiltration führen.
Realistisch schlimmster Fall: Kompromittierung von Software-Builds und Bereitstellung von Backdoors in produktiver Software, was zu weitreichenden Sicherheitsvorfällen bei Endkunden führen kann.
Betroffen
Organisationen, die GitHub-Repositories nutzen, insbesondere im Energiesektor und IT-SaaS-Bereich.
Prüfen
3- ▸Überprüfen Sie alle GitHub-Repositories auf Commits von unbekannten oder verdächtigen Benutzern, insbesondere solchen mit Namen wie 'build-bot', 'auto-ci', 'ci-bot' oder 'pipeline-bot'.
- ▸Überprüfen Sie die Änderungsgeschichte von CI/CD-Workflow-Dateien (z.B. .github/workflows/*.yml) auf unerwartete Modifikationen oder neue Dateien.
▸ 1 weitere▾ weniger
- ▸Implementieren Sie Code-Review-Prozesse für alle Commits, insbesondere für Änderungen an CI/CD-Konfigurationen, um sicherzustellen, dass nur autorisierte Änderungen übernommen werden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Art der bösartigen Nutzlast in den CI/CD-Workflows ist nicht spezifiziert.
- ▸Die spezifischen Auswirkungen der bösartigen Workflows (z.B. Datenexfiltration, Remote Code Execution) sind nicht detailliert beschrieben.
- ▸Es wird nicht spezifiziert, wie die Angreifer die Möglichkeit erhielten, Commits in die Repositories zu pushen (z.B. durch kompromittierte Zugangsdaten, offene Berechtigungen).
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Using throwaway accounts and forged author identities (build-bot, auto-ci, ci-bot, pipeline-bot)“
„Megalodon GitHub Attack Targets 5,561 Repos with Malicious CI/CD Workflows“
„pushed ... malicious commits to ... GitHub repositories ... with Malicious CI/CD Workflows“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- BleepingComputerKontextGitHub confirms breach of 3,800 repos via malicious VSCode extension
- Dark ReadingKontextGitHub Confirms Breach, 4K Internal Repos Stolen
- The Hacker NewsKontextMegalodon GitHub Attack Targets 5,561 Repos with Malicious CI/CD Workflows
Der Vorgang wird seit 2 Tagen berichtet.
Quellen & Belege· 3 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.