Chiến dịch GhostAction khai thác quy trình CI/CD trên GitHub để đánh cắp dữ liệu

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng mang tên GhostAction, nhắm trực tiếp vào hệ sinh thái GitHub bằng cách xâm nhập tài khoản của các nhà phát triển và người bảo trì dự án, gây ảnh hưởng đến hàng trăm kho lưu trữ.

Phương thức xâm nhập và lây nhiễm

Theo báo cáo từ các chuyên gia, chiến dịch này đã tác động đến 346 kho lưu trữ (repository) thông qua việc chèn các tệp workflow độc hại vào quy trình CI/CD. Kẻ tấn công đã lợi dụng quyền ghi từ hai tài khoản GitHub bị chiếm đoạt là henrywoo và kitao để đưa tệp .github/workflows/security-audit.yml vào hệ thống.

Các tệp này được ngụy trang bằng những thông điệp commit như 'Add security audit workflow' hoặc 'Update security audit workflow' nhằm qua mắt người quản lý. Khi các nhà phát triển thực hiện đẩy code (push code) lên hệ thống, đoạn mã độc hại này sẽ tự động kích hoạt.

Cơ chế thu thập dữ liệu nhạy cảm

Quy trình tự động thực hiện các lệnh HTTP POST để truyền tải dữ liệu đánh cắp về máy chủ điều khiển (C2) đặt tại địa chỉ 193.32.204.199. Các thông tin bị nhắm mục tiêu bao gồm biến môi trường GitHub Actions, token PyPI, token crates.io cùng nhiều khóa truy cập cá nhân (PAT) quan trọng khác.

Điểm tinh vi trong phiên bản GhostAction mới là khả năng quét toàn bộ lịch sử Git thay vì chỉ giới hạn ở các tệp hiện hành. Nhờ sử dụng tham số fetch-depth: 0, mã độc có thể tải xuống toàn bộ lịch sử kho lưu trữ để rà soát các khóa bí mật từng bị xóa trong các commit cũ, nhánh hoặc thẻ đã lỗi thời.

Mở rộng phạm vi tìm kiếm khóa API

Payload của chiến dịch này được thiết kế để tìm kiếm nhiều loại thông tin xác thực giá trị cao như khóa truy cập AWS, khóa API của Google, token Slack và các khóa API dịch vụ trí tuệ nhân tạo từ OpenAI, Anthropic hay OpenRouter. Việc phân tích các dòng mã xung quanh khóa AWS cũng giúp kẻ tấn công dễ dàng suy ra khóa bí mật tương ứng.

Biện pháp ứng phó và khuyến nghị

Giới chuyên gia đưa ra cảnh báo quan trọng rằng việc đơn thuần xóa bỏ tệp workflow độc hại là chưa đủ để xử lý triệt để sự cố. Do kẻ tấn công có thể đã nắm giữ các thông tin xác thực dài hạn, các đội ngũ kỹ thuật buộc phải triển khai quy trình ứng phó sự cố nghiêm ngặt ngay lập tức.

Để tăng cường bảo mật chuỗi cung ứng phần mềm, các tổ chức cần tuân thủ nghiêm ngặt nguyên tắc đặc quyền tối thiểu (least-privilege) và kiểm soát chặt chẽ các workflow tự động nhằm ngăn chặn hiệu quả những nguy cơ tương tự trong tương lai.