Phantom-Konten und exponierte Token: das stille Massenmapping, das die GitHub API nutzt

Datenschutz Labs hat koordinierte Kampagnen identifiziert, die die GitHub API verwenden, um Organisationen, Repositories und Benutzerkonten für Massenerkennungszwecke abzubilden. Obwohl viele der Aktivitäten die öffentlichen Endpunkte nutzen, haben Angreifer automatisierte Werkzeuge kombiniert, scheinbar inaktiv alte Konten - die ich nennen werde Geisterkonten- und legitime Token, die verpflichtet sind, die Untersuchung über das hinaus zu führen, was normalerweise von Casual Scrapping erwartet wird.

Die Haupttaktik ist bewusst einfach und effektiv: Verwendung von Konten, die vor Jahren erstellt wurden und ohne weitere Aktivität, um API-Anfragen zu stellen, die nicht sofort Verdacht erwecken. Bei Betrieb mit glaubwürdige Anwender und tokens exponiert, Verkehr wird mit legitimer Verwendung gemischt. Zu den aktuellen Konsultationen gehören die Liste der öffentlichen Repositories einer Organisation, die Erkundung von Anhängern und gefolgt von Benutzern, die Auflistung von Gists und Sternen, und das Senden von GraphQL Konsultationen, um Metadaten zu extrahieren. In einigen gemeldeten Vorfällen wurden private Repositories nach der Suche nach Anmeldeinformationen mit ausreichenden Genehmigungen kloniert.

Dies stellt ein doppeltes Problem dar: Zum einen erleichtert der große öffentliche Bereich der GitHub API die automatisierte Erkennung; zum anderen macht die Verwendung von alten Konten und legitimen Token es schwierig, anhand einfacher Signaturen oder automatischer Ablehnung neuer Konten zu erkennen. Das reale Risiko ist die Datenakkumulation: Hunderte oder Tausende von Anträgen, die es einem Angreifer ermöglichen, interne Projektstrukturen, Steuerzahler-Beziehungen und potenzielle Vektoren für spätere Angriffe zu bilden.

Die Auswirkungen sind breit. Über die direkte Exposition von Code oder geistigem Eigentum hinaus können aggregierte Informationen gezielte Social Engineering-Angriffe erleichtern, die Lieferkette durch die Identifizierung von Repositorien mit kritischen Abhängigkeiten gefährden oder Seitenbewegungen zulassen, wenn Anmeldeinformationen mit unzureichenden Genehmigungen entdeckt werden. Auch wenn die meisten Anfragen öffentliche Daten verbrauchen, zeigt die Verschiebung zum Klonen von privaten Repositories, dass eine kleine Anzahl von gefilterten Anmeldeinformationen die Auswirkungen skalieren können.

Solche Kampagnen zu erkennen erfordert Ansätze, die sich auf ein zusätzliches Verhalten konzentrieren, anstatt auf isolierte Signale. Warnzeichen umfassen mehrere Konten, die ähnliche und synchronisierte Konsultationen gegen mehrere Organisationen, intensive Bezahlungsmuster, repetitive Nutzung bestimmter scheinbar legitimer Benutzer-Agenten und gleichzeitige Klon- oder Download-Spitzen durchführen. Die Überprüfung von Audits und die Korrelation mit externen Quellen ist der Schlüssel, um dieses Verhalten zu identifizieren, bevor es zu Exfiltration führt.

In der Praxis können und sollten Organisationen konkrete Maßnahmen ergreifen, um den Expositionsbereich zu reduzieren. Zu den wirksamsten Aktionen gehören Multifaktor-Authentifizierung aktivieren und SAML / SSO für Mitglieder der Organisation benötigt, Politiken für das Auslaufen und Verdrehen von Token auferlegen, das Prinzip des kleinen Privilegs durch eingeschränkte Mikroskop-Token (fine-grained PATs) anwenden und unnötigen Zugriff oder inaktive Konten widerrufen. Darüber hinaus wird empfohlen, das Scannen von Geheimnissen und den Schutz von Zweigen zu aktivieren und den Zugriff auf Drittanbieter-OAuth-Anwendungen durch regelmäßige Bewertungen zu beschränken.

Aus Überwachungsperspektive sollten die Unternehmen GitHubs Log mit ihrem IMS integrieren, Warnungen für Massenlistenmuster und Klone sensibler Repositories erstellen und die Annahme von Werkzeugen bewerten, die eine ungewöhnliche Synchronisation zwischen mehreren Konten erkennen. Es ist auch angebracht, regelmäßig die Listen von Mitgliedern und externen Partnern zu überprüfen und kontrollierte Gerstenrepositories zu verwenden, um verdächtige Aktivitäten zu messen, ohne reale Vermögenswerte zu belegen.

Für Entwickler und technische Geräte geben die spezifischen Empfehlungen nicht die Speicherung von Token in Repositorys oder in Histories, die Verwendung von Umgebungsvariablen und geheimen Managern, die Bevorzugung von Authentifizierungsverfahren mit einfachem Ablauf und Widerruf, und die Einstellung von Mindestberechtigungen für GitHub Actions und für jeden Workflow. Überprüfen Sie autorisierte Integrationen und Anwendungen und begrenzen öffentliche Webhooks reduziert Betriebsvektoren.

Diese Art von Bedrohung erinnert daran, dass die Sicherheit auf kollaborativen Plattformen sowohl technische Kontrollen als auch kontinuierliche Governance erfordert: klare Zugangsrichtlinien, regelmäßige Überprüfungen und Telemetrie, um aggregierte Muster zu sehen. Um gute Sicherheitspraktiken in GitHub zu vertiefen und Token und Authentifizierung zu verwalten, konsultieren Sie GitHubs offizielle Dokumentation bei https: / / docs.github.com / en / Authentisierung / Konten- und Datensicherheit und die Bedrohungsanalyse und Veröffentlichungen von Datadog Security Labs in https: / / www.datadoghq.com / Blog / Kategorie / Sicherheit / Bereitstellung zusätzlicher Kontext und technischer Beispiele.