Kampaň GhostAction slábne, útočníci se zaměřili na stroje vývojářů

Kampaň GhostAction, která cílila na dodavatelský řetězec softwaru prostřednictvím platformy GitHub, podle dostupných informací ztratila na intenzitě. Zároveň ale platí, že útočníci z hry nevypadli. Jejich pozornost se přesunula jinam, a to především na koncové zařízení vývojářů a na přístup do cloudových prostředí.

Útoky na dodavatelský řetězec patří dlouhodobě mezi nejnebezpečnější typy kybernetických hrozeb. Princip je jednoduchý: místo přímého útoku na jednu konkrétní firmu se pachatelé snaží proniknout do nástrojů, knihoven nebo procesů, které používá velké množství vývojářů a organizací. Kompromitace jediného místa pak může otevřít cestu k mnoha dalším cílům. GitHub, kde vývojáři sdílejí kód a spravují své projekty, je pro takové operace přirozeně atraktivním prostředím.

Kampaň GhostAction se na tuto platformu zaměřila a v její první fázi vyvolala pozornost bezpečnostní komunity. Aktuální rozbor ale ukazuje, že nejintenzivnější vlna už odezněla. Opadnutí aktivity by však nemělo vést k uklidnění. Podle článku se spíše jedná o změnu taktiky než o ústup. Skupina stojící za kampaní, která je označena jako kyberzločinecké uskupení, pokračuje v činnosti a hledá jiné cesty k cennému přístupu.

Za zmínku stojí, jak se váha útoků posunula. Koncové body vývojářů, tedy pracovní stanice a notebooky, na nichž vzniká kód, jsou pro útočníky lákavým cílem. Právě na nich se běžně nacházejí přihlašovací údaje, přístupové klíče a tokeny, které umožňují pracovat s repozitáři, build systémy i cloudovými službami. Kdo ovládne takové zařízení, často získá víc než jen jednotlivý soubor. Získá důvěryhodné místo, z něhož může dál postupovat.

Podobně významný je přístup ke cloudu. Moderní vývoj je s cloudovou infrastrukturou propojený velmi těsně a přístupové údaje k ní bývají uloženy v konfiguracích, proměnných prostředí či automatizovaných procesech. Pokud útočníci tyto údaje získají, mohou se dostat k datům, službám i výpočetním zdrojům dané organizace. Přesun od samotného GitHubu ke koncovým bodům a cloudu tak odpovídá logice celé kampaně: jde o cestu k hodnotnějším a hůře dostupným cílům.

Článek zároveň naznačuje, jakým směrem by se mohla skupina vydat dál. Konkrétní podrobnosti o dalším kroku v dodaném materiálu nejsou rozepsány, ale z celkového rámce je patrné, že útočníci pravděpodobně budou stavět na tom, co se jim dosud osvědčilo, a využívat získané přístupy k dalšímu rozšiřování svého dosahu. Opadnutí viditelné vlny tedy neznamená konec hrozby, nýbrž spíše její proměnu.

Pro vývojářské týmy a firmy z toho plyne několik praktických závěrů. Ochrana nemůže končit u samotných repozitářů. Zabezpečení musí zahrnovat i pracovní stanice vývojářů, správu tajných klíčů a řízení přístupů do cloudových služeb. Citlivé údaje by se neměly povalovat v konfiguračních souborech ani v historii kódu a oprávnění by měla být omezena na nezbytné minimum. Důležité je také pravidelně kontrolovat, kdo a co má k projektům přístup, a rychle rušit tokeny, které už nejsou potřeba.

Dodaný text neuvádí, kolik obětí kampaň zasáhla, v jakém časovém období probíhala ani jaká data byla případně odcizena. Tyto údaje proto nelze posoudit a je vhodné se vyvarovat domněnek. Jasné je pouze to, že hlavní vlna odezněla, útočníci jsou aktivní a jejich zájem se obrátil k místům, kde se setkává vývoj kódu s cloudovou infrastrukturou.

Případ GhostAction tak připomíná, že kybernetické kampaně se málokdy končí tím, že by o ně útočníci ztratili zájem. Častěji se přizpůsobí, změní cíl a pokračují. Pro organizace, které se spoléhají na GitHub i cloudové služby, je to důvod, aby své bezpečnostní postupy nepovažovaly za hotové, ale průběžně je upravovaly podle toho, kam se pozornost útočníků právě obrací.