عندما تصبح سير العمل سلاحًا: حملة تسميم CI على GitHub المختبئة على مرأى من الجميع
تُظهر دفعة آلية من الالتزامات الخبيثة عبر آلاف المستودعات مدى السرعة التي يمكن بها إعادة توظيف الثقة في CI/CD لتصبح سطح هجوم لصيد الأسرار.
المقدمة
من المفترض أن تقلل الأتمتة من الاحتكاك. لكن في هذه الحالة، يبدو أنها أصبحت وسيلة التسليم. وقد ارتبطت حملة تحمل اسم Megalodon بآلاف مستودعات GitHub وبملفات سير العمل التي يمكن أن تحوّل بنية البناء إلى حمولات قابلة للتنفيذ. والأهمية هنا تكمن في النمط أكثر من العدد الخام: عندما يتم العبث بأتمتة المستودع نفسه، قد لا يحتاج المهاجم إلى كسر البناء لاستغلاله.
حقائق سريعة
- كشف الباحثون عن حملة آلية تُدعى Megalodon.
- ويُقال إنها دفعت 5,718 التزامًا خبيثًا إلى 5,561 مستودعًا على GitHub خلال نحو ست ساعات.
- استخدم النشاط حسابات مؤقتة وأسماء مؤلفين مزيفة على نمط أدوات CI مثل build-bot وauto-ci وci-bot وpipeline-bot.
- احتوت سير عمل GitHub Actions المزروعة على حمولات Bash مشفرة بـ base64.
- تشير المقتطفات الظاهرة إلى هدف لاستخراج البيانات، لكن الهدف الكامل وأي نجاح في السرقة غير واضحين بالكامل.
المتن
من منظور دفاعي، هذه مشكلة تسميم كلاسيكية في CI/CD. إن سير عمل GitHub Actions ليس مجرد إعدادات؛ بل هو أتمتة قابلة للتنفيذ. وعندما يتم تعديل ملف سير عمل، يمكن لمسار التنفيذ أن ينتقل من “مراجعة الشفرة” إلى “تنفيذ الشفرة” بمجرد تفعيل المُشغِّل. لذلك تستحق ملفات سير العمل نفس مستوى التدقيق الذي تحظى به شفرة التطبيق.
إن استخدام حسابات مؤقتة وهويات مزيفة تشبه الروبوتات يكشف الكثير أيضًا. فمثل هذا التمويه مصمم لجعل الالتزامات الخبيثة تبدو كضجيج أتمتة اعتيادي. وفي المستودعات سريعة الحركة، يمكن للأسماء التي تشبه بنية البناء أن تخفض مستوى الشك بما يكفي لتمرير سير عمل ضار أو على الأقل إبقائه في مكانه حتى تشغيل المهمة التالية.
الخطر الأكبر لا يقتصر على تعطل خط الأنابيب. فقد تتفاعل مهام GitHub Actions مع بيانات اعتماد مرتبطة بالمستودع وأسرار أخرى تبعًا لكيفية إعداد سير العمل. وإذا نُفذ سير عمل خبيث، فقد يتمكن من قراءة متغيرات البيئة أو الرموز المميزة أو مواد أخرى لا ينبغي أن تغادر المُشغِّل أبدًا. وفي بعض البيئات، قد يخلق ذلك مسارًا من ملف سير عمل واحد إلى الوصول إلى السحابة أو نشر الحِزم أو العبث اللاحق بالمستودع.
ولا تزال هناك نقطة تحذير مهمة: التفاصيل المتاحة لا تُظهر هدف الاستخراج بالكامل، ولا تثبت أن كل مستودع مستهدف نفّذ الحمولة. وهذه الضبابية مهمة. ومع ذلك، فالعبرة التقنية واضحة: ملف سير العمل جزء من سطح الهجوم، وليس سكربت مساعدًا غير ضار.
وتوضح إرشادات GitHub الأمنية الخاصة بها هذا التمييز بوضوح. يجب تقليل أذونات الرمز المميز الافتراضية إلى الحد الأدنى، وعدم إدراج المدخلات غير الموثوقة مباشرة في أوامر shell، كما تتطلب المشغلات عالية المخاطر مثل pull_request_target تصميمًا دقيقًا لأنها قد تغيّر حد الامتيازات بطرق دقيقة. هذه الضوابط لا تمنع كل حالات الإساءة، لكنها ترفع كلفة تحويل الأتمتة ضد مالكها.
الخاتمة
الدرس الأعمق هو أن هجمات سلسلة توريد البرمجيات لا تبدأ دائمًا بسرقة الشفرة المصدرية أو باختراق صفحة تسجيل الدخول. أحيانًا تبدأ بملف سير عمل يبدو عاديًا، يعمل تلقائيًا، ويكتسب ثقة أكثر مما ينبغي. في CI/CD الحديث، غالبًا ما لا يفصل بين الراحة والاختراق سوى بضعة أذونات.
TECHCROOK
مفتاح أمان عتادي: يضيف مفتاح أمان صغير عبر USB أو NFC مصادقة قوية ثنائية العامل لحسابات GitHub ووحدات تحكم السحابة وحسابات المطورين. وهو وسيلة عملية لتعزيز الوصول إلى المستودعات وإعدادات CI/CD وعمليات تسجيل الدخول الإدارية الحساسة الأخرى.
WIKICROOK
- GitHub Actions: نظام أتمتة GitHub لتشغيل سير العمل الذي تُفعّله أحداث المستودع.
- CI/CD: التكامل المستمر والنشر المستمر، أي خط الأنابيب الآلي للبناء والاختبار والإصدار المستخدم في تسليم البرمجيات.
- ملف سير العمل: إعداد YAML يحدد ما الذي تنفذه مهمة GitHub Actions ومتى تعمل.
- GITHUB_TOKEN: رمز مميز مؤقت مرتبط بالمستودع تنشئه GitHub لمهام سير العمل.
- pull_request_target: مُشغّل في GitHub Actions يمكنه العمل بصلاحيات مستودع أقوى من سير عمل طلب السحب القياسي.
