L’attaque de la cha\u00eene d’approvisionnement en cascade qui a initialement cibl\u00e9 Coinbase avant de devenir plus r\u00e9pandue pour les utilisateurs c\u00e9libataires de l’action GitHub “TJ-Actions \/ Files modifi\u00e9e” a \u00e9t\u00e9 retrac\u00e9e au vol d’un jeton d’acc\u00e8s personnel (TAPOTER<\/a>) li\u00e9 aux punaises.<\/p>\n “Les attaquants ont obtenu un acc\u00e8s initial en profitant du flux de travail GitHub Actions of Spotbugs, un outil d’ouverture populaire pour l’analyse statique des bogues dans le code”, Palo Alto Networks Unit 42 dit<\/a> dans une mise \u00e0 jour cette semaine. “Cela a permis aux attaquants de se d\u00e9placer lat\u00e9ralement entre les r\u00e9f\u00e9rentiels Spotbugs, jusqu’\u00e0 ce que l’acc\u00e8s \u00e0 ReviewDog.”<\/p>\n Il existe des preuves sugg\u00e9rant que l’activit\u00e9 malveillante a commenc\u00e9 jusqu’\u00e0 novembre 2024, bien que l’attaque contre Coinbase n’ait eu lieu qu’en mars 2025.<\/p>\n L’unit\u00e9 42 a d\u00e9clar\u00e9 que son enqu\u00eate avait commenc\u00e9 avec le fait que l’action GitHub de ReviewDog avait \u00e9t\u00e9 compromise en raison d’un PAT divulgu\u00e9 associ\u00e9 au mainteneur du projet, qui a par la suite permis aux acteurs de la menace de repousser une version voyoue de “ReviewDog \/ Action-Settup” qui, \u00e0 son tour, a \u00e9t\u00e9 repris par “TJ-Actions \/ Action-Files” en raison de l’action en fonction de la \u00abtransaction TJ-Ractions \/ Eslint\u00bb.<\/p>\n Il a depuis \u00e9t\u00e9 d\u00e9couvert que le mainteneur \u00e9tait \u00e9galement un participant actif \u00e0 un autre projet open-source appel\u00e9 Spotbugs.<\/p>\n Les attaquants auraient pouss\u00e9 un fichier de workflow GitHub Actions malveillant dans le r\u00e9f\u00e9rentiel “Spotbugs \/ Spotbugs” sous le nom d’utilisateur jetable “Jurkaofavak”, ce qui a provoqu\u00e9 la divulgation du Pat du maintien lorsque le flux de travail a \u00e9t\u00e9 ex\u00e9cut\u00e9.<\/p>\n On pense que le m\u00eame PAT a facilit\u00e9 l’acc\u00e8s \u00e0 la fois aux “ponts spot \/ spotbugs” et “examenDog \/ action-setup”, ce qui signifie que le tapis divulgu\u00e9 pourrait \u00eatre abus\u00e9 pour empoisonner “ReviewDog \/ Action-Settup”.<\/p>\n “L’attaquant avait en quelque sorte un compte avec une autorisation d’\u00e9criture dans les spots \/ bogues, qu’ils ont pu utiliser pour pousser une succursale vers le r\u00e9f\u00e9rentiel et acc\u00e9der aux secrets CI”, a d\u00e9clar\u00e9 l’unit\u00e9 42.<\/p>\n Quant \u00e0 la fa\u00e7on dont les autorisations d’\u00e9criture ont \u00e9t\u00e9 obtenues, il est apparu que l’utilisateur derri\u00e8re le malveillant se engage \u00e0 Spotbugs, “Jurkaofavak”, a \u00e9t\u00e9 invit\u00e9 au r\u00e9f\u00e9rentiel en tant que membre par l’un des agents-responsables du projet eux-m\u00eames le 11 mars 2025.<\/p>\n En d’autres termes, les attaquants ont r\u00e9ussi \u00e0 obtenir le Pat du r\u00e9f\u00e9rentiel Spotbugs \u00e0 inviter “Jurkaofavak” \u00e0 devenir membre. Cela, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, a \u00e9t\u00e9 r\u00e9alis\u00e9 en cr\u00e9ant une fourche du r\u00e9f\u00e9rentiel “Spotbugs \/ Sonar-Findbugs” et en cr\u00e9ant une demande de traction sous le nom d’utilisateur “Randolzfow”.<\/p>\n “Le 2024-11-28T09: 45: 13 UTC, [the SpotBugs maintainer] a modifi\u00e9 l’un des flux de travail des \u00abspots bogs \/ sonar-libugs pour utiliser leur propre PAT, car ils avaient des difficult\u00e9s techniques dans une partie de leur processus CI \/ CD\u00bb, a expliqu\u00e9 l’unit\u00e9 42.<\/p>\n “Le 2024-12-06 02:39:00 UTC, l’attaquant a soumis un Demande de traction malveillante<\/a> aux spots \/ sonar-finbugs, qui ont exploit\u00e9 un flux de travail GitHub Actions qui a utilis\u00e9 le pull_request_target<\/a> d\u00e9clenchement.”<\/p>\n Le d\u00e9clencheur “Pull_request_target” est un d\u00e9clencheur de workflow GitHub Actions qui permet aux flux de travail de passer des fourches \u00e0 acc\u00e9der aux secrets – dans ce cas, le PAT – conduisant \u00e0 ce qu’on appelle une attaque d’ex\u00e9cution de pipeline empoisonn\u00e9 (PPE).<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Vol-a-jeton-dacces-des-bousculades-identifies-comme-cause-profonde.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n