Action GitHub Xygeni ciblée dans une attaque de contamination de balises
Des attaquants ont réussi à compromettre le dépôt GitHub xygeni/xygeni-action appartenant au fournisseur de sécurité des applications Xygeni. La violation impliquait une contamination de balises, une technique où des acteurs malveillants manipulent les balises de version pour distribuer du code compromis à travers ce qui semble être des mises à jour logicielles légitimes.
L'attaque a permis aux acteurs de la menace d'établir et de maintenir un implant de commande et de contrôle actif au sein de l'action compromise. Cette infrastructure C2 est restée opérationnelle pendant jusqu'à sept jours avant d'être détectée.
Impact sur la chaîne d'approvisionnement des flux de travail de développement
La compromission affecte directement les organisations et les développeurs qui ont intégré l'Action GitHub de Xygeni dans leurs pipelines CI/CD. Tous les flux de travail qui ont récupéré les balises contaminées pendant la période de compromission active ont potentiellement exécuté du code malveillant dans leurs environnements de développement.
L'attaque représente un incident de sécurité de la chaîne d'approvisionnement significatif, car les Actions GitHub sont couramment utilisées dans les flux de travail de développement d'entreprise pour des analyses de sécurité automatisées et des vérifications de conformité.
La contamination de balises permet un accès persistant
Les attaquants ont exploité la contamination de balises pour maintenir la persistance au sein du canal de distribution de logiciels légitime. Cette technique exploite la confiance que les développeurs placent dans les balises de version, permettant au code malveillant d'être distribué à travers ce qui semble être des mises à jour logicielles de routine.
L'opération d'une semaine de l'implant C2 indique que les attaquants avaient un accès soutenu pour exécuter des commandes et potentiellement exfiltrer des données des environnements de développement affectés. Les organisations utilisant l'action compromise devraient auditer leurs journaux CI/CD pour la période affectée.
