Die Megalodon-Kampagne zeigt, wo das Risiko in der Software-Lieferkette tatsächlich liegt. Innerhalb von nur sechs Stunden schoben Angreifer bösartige Commits in über 5.500 GitHub-Repositorys ein – unter Nutzung kompromittierter Anmeldedaten, um als vertrauenswürdige, automatisierte Mitwirkende aufzutreten.
Tausende GitHub-Repositorys wurden mit der Malware Megalodon infiziert, die Anmeldedaten stiehlt. Die neueste Bedrohungskampagne erschüttert die ohnehin schon stark belastete Software-Lieferkette. Der legitime Betreuer eines betroffenen Pakets veröffentlichte daraufhin sieben infizierte Versionen auf npm, ohne zu wissen, dass seine Quelle manipuliert worden war. Der Code sah sauber aus, die Identität wirkte gültig und der Workflow verhielt sich genau wie erwartet. Nichts in der Kette löste eine Warnung aus – bis ein Scanner eines Drittanbieters eine Anomalie entdeckte. Megalodons Vorgehensweise folgt einem bekannten Angriffsmuster, das hier im großen Maßstab gegen eine Umgebung eingesetzt wurde, die Automatisierung nach wie vor als grundlegend vertrauenswürdig behandelt. CI/CD-Pipelines und GitHub-Actions-Workflows erhalten standardmäßig umfangreiche Zugriffsrechte. Cloud-Anmeldedaten, SSH-Schlüssel, API-Tokens und Umgebungsvariablen sind für einen Workflow-Runner in der Regel zugänglich. Gelingt es einem Angreifer also, eine bösartige Workflow-Datei einzuschleusen, erbt er diese Rechte direkt.
Workflow-Berechtigungen
Die praktische Reaktion darauf sollte damit beginnen, Geheimnisse in Entwicklerumgebungen mit derselben Sorgfalt zu behandeln wie privilegierte Anmeldedaten an jeder anderen Stelle der Organisation. Geheimnisse sollten nicht weitreichend, langlebig oder allein deshalb vertrauenswürdig sein, weil sie innerhalb eines Workflows existieren. Alle Anmeldedaten, auf die ein CI-Runner zugreifen können, sollten zentral verwaltet, regelmäßig rotiert und nach dem Prinzip der minimalen Rechte vergeben werden. Wo KI-Coding-Agenten mit der Infrastruktur interagieren, müssen diese Geheimnisse zur Laufzeit über authentifizierte Kanäle abrufen – statt Rohdaten in Konfigurationsdateien, Chatverläufen oder Workflow-Definitionen einzubetten. Keine Identität, weder menschlich noch maschinell, sollte jemals mehr Zugriffsrechte besitzen, als für die jeweilige Aufgabe unbedingt erforderlich ist. Organisationen, die ihre CI/CD-Pipelines, Workflow-Berechtigungen und die für ihre Automatisierung zugänglichen Geheimnisse noch nicht überprüft haben, sollten diesen Vorfall als Anstoß dafür nutzen. (Shane Barney, CISO von Keeper Security)
Mehr bei KeeperSecurity.com
Über Keeper Security Keeper Security verändert die Art und Weise, wie Menschen und Organisationen auf der ganzen Welt ihre Passwörter, Geheimnisse und vertraulichen Informationen schützen. Die benutzerfreundliche Cybersecurity-Plattform von Keeper basiert auf der Grundlage von Zero-Trust- und Zero-Knowledge-Sicherheit, um jeden Benutzer und jedes Gerät zu schützen.
Passende Artikel zum Thema