BR-Linux.org

O período distópico que assola o GitHub desde a sua aquisição pela Microsoft tem mais um marco assustador: o Megalodon, uma campanha que injetou commits de malware em mais de 5000 repositórios ao longo de 6 horas de atividade na quinta-feira passada.

Usando bots diversos e incluindo nos commits descrições (SysDiag, Optimize-Build...) que os faziam parecer legítimos e inofensivos, o Megalodon enviou workflows (do GitHub Actions) contendo trechos ofuscados em Base64, feitos para coletar e enviar para centros de controle externos várias informações de autenticação e similares: tokens de APIs, credenciais de nuvem, chaves SSH, etc.

É a chamada contaminação da linha de produção: os repositórios infectados (por exemplo, o do pacote NPM tiledesk-server) acabam virando propagadores do malware, e assim fazem vazar para o atacante as informações de quem instalar a versão infectada – que na semana passada já havia recebido centenas de milhares de arquivos das suas vítimas, segundo informações de monitoramento que foram divulgadas por pesquisadores.

Além da minha sugestão permanente de verificar se o seu workflow de desenvolvimento é seguro e se a automação por meio do GitHub compensa a exposição a riscos, a recomendação específica dos especialistas é de que os usuários do GitHub revisem imediatamente os commits recentes relacionados ao workflow, rotacionem os tokens e demais segredos expostos, habilitem regras de proteção, exijam commits assinados, e auditem pipelines de CI/CD para modificações não autorizadas.