L’attaque de la chaîne d’approvisionnement impliquant l’action GitHub “des actions TJ / Files modifiées” a commencé comme une attaque très ciblée contre l’un des projets open source de Coinbase, avant de devenir quelque chose de plus répandu dans la portée.
“La charge utile était axée sur l’exploitation du flux public CI / CD de l’un de leurs projets open source – Agentkit, probablement dans le but de le tirer parti de compromis supplémentaires”, Palo Alto Networks Unit 42 dit dans un rapport. “Cependant, l’attaquant n’a pas été en mesure d’utiliser des secrets Coinbase ou de publier des packages.”
Le incident a été révélé le 14 mars 2025, lorsqu’il a été constaté que les “actions TJ / Files modifiées” ont été compromises pour injecter du code qui a divulgué des secrets sensibles des référentiels qui dirigeaient le flux de travail. Il a été attribué à l’identifiant CVE CVE-2025-30066 (Score CVSS: 8.6).
Selon Endor Labs, les référentiels GitHub 218 sont estimés à avoir exposé leurs secrets en raison de l’attaque de la chaîne d’approvisionnement, et la majorité des informations divulguées comprennent une “douzaine” d’identification pour Dockerhub, NPM et Amazon Web Services (AWS), ainsi que GitHub Installation d’accès à installer.
“L’échelle initiale de l’attaque de la chaîne d’approvisionnement semblait effrayante, étant donné que des dizaines de milliers de référentiels dépendent de l’action GitHub”, cherche-t-il en sécurité Henrik Plate dit.
“Cependant, le forage dans les workflows, leurs courses et leurs secrets divulgués montrent que l’impact réel est plus petit que prévu:` `Seul ” 218 référentiels a divulgué des secrets, et la majorité d’entre eux sont de courte durée GitHub_Tokens, qui expirent une fois qu’une course de travail est terminée.”
Depuis lors, il est apparu que la balise V1 d’une autre action GitHub appelée “ReviewDog / Action-Settup”, sur laquelle “TJ-Action / Files modifiés” s’appuie comme une dépendance via “TJ-Ractions / Eslint-Changed-Files”, a également été compromis dans la tête de l’incident de TJ-Ractions avec une charge salariale similaire. Le violation de “reviewdog / action-setup” est suivi comme CVE-2025-30154 (Score CVSS: 8.6).
L’exploitation du CVE-2025-30154 aurait permis à l’acteur de menace non identifié d’obtenir un jeton d’accès personnel (PAT) associé à “TJ-Action / Files modifiés”, leur permettant ainsi de modifier le référentiel et de pousser le code malveillant, impactant à son tour chaque référentiel Github qui dépend de l’action.
“Lorsque l’action TJ-Actions / Eslint-Changed-Files a été exécutée, les secrets du coureur TJ-Actions / Files modifiés ont été divulgués, permettant aux attaquants de voler les références utilisées dans le coureur, y compris un jeton d’accès personnel (PAT) appartenant au TJ-Bot-Actions Github Contat Dit Avital.
Il est actuellement soupçonné que l’attaquant a réussi à accéder en quelque sorte à un jeton avec un accès en écriture à l’organisation ReviewDog afin d’effectuer les modifications voyoues. Cela dit, la manière dont ce jeton peut avoir été acquis reste inconnue à ce stade.
En outre, les engagements malveillants à “ReviewDog / Action-Settup” auraient été effectués en fournissant d’abord le référentiel correspondant, en lui apportant des modifications, puis en créant un Demande de traction de fourche au référentiel original et finalement introduire des validations arbitraires – un scénario appelé un engagement dangereux.
“L’attaquant a pris des mesures importantes pour cacher ses pistes en utilisant diverses techniques, telles que la mise à profit des engagements pendants, la création de multiples comptes d’utilisateurs temporaires GitHub et l’obscurcissement de leurs activités dans les journaux de flux de travail (en particulier dans l’attaque initiale de Coinbase)”, a déclaré Gil, directeur de recherche principal chez Palo Alto Networks,, a déclaré à The Hacker News. “Ces résultats indiquent que l’attaquant est hautement qualifié et a une compréhension approfondie des menaces de sécurité CI / CD et des tactiques d’attaque.”
L’unité 42 a théorisé que le compte d’utilisateur derrière la demande de traction de fourche “IlrmkCU86TJWP8” peut avoir été caché de la vue du public après que l’attaquant est passé d’une adresse e-mail légitime fournie lors de l’inscription à un e-mail jetable (ou anonyme) en violation de la politique de Github.
Cela aurait pu faire cacher toutes les interactions et actions effectuées par l’utilisateur. Cependant, lorsqu’il a été contacté pour commenter, Github n’a pas confirmé ni refusé l’hypothèse, mais a déclaré qu’il examinait activement la situation et prenait des mesures si nécessaire.
“Il n’y a actuellement aucune preuve suggérant un compromis de GitHub ou de ses systèmes. Les projets soulignés sont des projets open-source gérés par les utilisateurs”, a déclaré un porte-parole de GitHub au Hacker News.
“GitHub continue d’examiner et de prendre des mesures sur les rapports des utilisateurs liés au contenu du référentiel, y compris les logiciels malveillants et d’autres attaques malveillantes, conformément à Les politiques d’utilisation acceptables de Github. Les utilisateurs doivent toujours consulter les actions GitHub ou tout autre package qu’ils utilisent dans leur code avant de mettre à jour les nouvelles versions. Cela reste vrai ici comme dans tous les autres cas d’utilisation du code tiers. “
Une recherche plus profonde pour GitHub Forks of TJ-Action / Changement-Files a conduit à la découverte de deux autres comptes “2ft2dko28uaztz” et “mmvojwip”, qui ont depuis été supprimés depuis la plate-forme. Les deux comptes ont également été trouvés pour créer des fourchettes de référentiels liés à Coinbase tels que Onchainkit, AgentKit et X402.
Plus loin examen a découvert que les comptes ont modifié le fichier “Changelog.yml” dans le référentiel AgentKit à l’aide d’une demande de traction de fourche pour pointer une version malveillante de “TJ-Action / Files modifiés” publié plus tôt en utilisant le PAT.
L’attaquant aurait obtenu un jeton GitHub avec des autorisations d’écriture au référentiel AgentKit – à son tour facilité par l’exécution des actions GitHub-Aactions / Files modifiées – afin d’apporter les modifications non autorisées.
Un autre aspect important qui mérite d’être mis en évidence est la différence de charges utiles utilisées dans les deux cas, indiquant des tentatives sur une partie de l’attaquant pour rester sous le radar.
“L’attaquant a utilisé différentes charges utiles à différentes étapes de l’attaque. Par exemple, dans l’attaque répandue, l’attaquant a jeté la mémoire du coureur et des secrets imprimés stockés sous forme de variables d’environnement au journal du flux de travail, quel que soit le flux de travail”, a déclaré Gil.
“Cependant, lors du ciblage de Coinbase, l’attaquant a spécifiquement récupéré le github_token et a veillé à ce que la charge utile ne s’exécuterait que si le référentiel appartenait à Coinbase.”
On ne sait actuellement pas quel était l’objectif final de la campagne, il est “fortement” soupçonné que l’intention était un gain financier, tentant probablement de mener un vol de crypto-monnaie, étant donné le ciblage hyper spécifique de Coinbase, a souligné Gil. Au 19 mars 2025, l’échange de crypto-monnaie a corrigé l’attaque.
Il n’est pas non plus clair ce qui a incité l’attaquant à changer de vitesse, en transformant ce qui était une attaque initialement ciblée s’est transformée en une campagne à grande échelle et moins furtive.
“Une hypothèse est qu’après avoir réalisé qu’ils ne pouvaient pas tirer parti de leur jeton pour empoisonner le référentiel Coinbase – et après avoir appris que Coinbase avait détecté et atténué l’attaque – l’attaquant craignait de perdre l’accès à l’action TJ-Action / Files modifiée”, a déclaré Gil.
“Étant donné que le compromission de cette action pourrait donner accès à de nombreux autres projets, ils ont peut-être décidé d’agir rapidement.