Атака через GitHub Actions: зловмисники зламали популярний інструмент

Популярний open source-інструмент element-data, яким користуються тисячі розробників, виявився скомпрометованим. Зловмисники підмінили одну з версій пакета, і вона почала збирати конфіденційні дані — від API-токенів до SSH-ключів.

Що сталося

За даними розробників, атаку здійснили через уразливість у процесі роботи з GitHub Actions. Зловмисник зміг виконати шкідливий скрипт через pull request і отримати доступ до облікових токенів та ключів підпису.

Після цього була опублікована підроблена версія пакета — 0.23.3 — у Python Package Index та Docker-образах.

Про інцидент повідомляє NNews із посиланням на Ars Technica.

Як працював шкідливий код

Після запуску заражений пакет:

• сканував систему на наявність конфіденційних даних
• збирав облікові дані користувачів
• витягував ключі доступу до хмарних сервісів
• отримував API-токени, SSH-ключі та .env-файли

Особливо вразливими виявилися CI/CD-середовища, де одночасно доступні десятки секретів.

Чому це небезпечно

Це класичний приклад supply-chain атаки — коли компрометується не сам користувач, а інструмент, якому він довіряє.

Такі атаки небезпечні тим, що:

• виглядають як легітимні оновлення
• обходять базові перевірки безпеки
• можуть масштабно поширюватися через залежності

Що робити прямо зараз

Розробники радять негайно діяти, якщо ви використовували element-data:

• перевірити версію пакета
• якщо це 0.23.3 — видалити її
• встановити безпечну версію 0.23.4
• очистити кеш
• перевірити наявність маркерного файлу (.trinny-security-update)
• змінити всі ключі доступу, які могли бути скомпрометовані

Чому це сталося

Експерти зазначають, що GitHub Actions — одна з найслабших ланок у багатьох open source-проєктах.

Хакер і засновник runZero HD Moore підкреслив:
такі workflow часто містять приховані уразливості, які можна використати через звичайний pull request.

Що це означає для ринку

Інцидент вкотре показує: open source більше не є «безпечним за замовчуванням».

Розробники змушені:

• жорсткіше контролювати CI/CD
• обмежувати доступ до ключів
• перевіряти навіть офіційні оновлення

Цікавий факт

У світі існують мільйони open source-пакетів, але навіть один скомпрометований інструмент із популярною залежністю може стати точкою входу для атак на тисячі компаній одночасно.

Чому це важливо

Це не просто локальний інцидент — це сигнал про системну проблему.
Атаки через залежності стають масовими, і під загрозою вже не лише окремі користувачі, а цілі компанії та інфраструктури.