Una campaña generalizada de phishing ha atacado casi 12.000 repositorios de GitHub, engañando a los desarrolladores con falsas alertas de seguridad que les hacen autorizar una aplicación OAuth maliciosa. Esta acción otorga a los atacantes control total sobre las cuentas y el código de los usuarios afectados.
Alertas falsas con texto idéntico
Todos los problemas de phishing en GitHub contienen el mismo mensaje, advirtiendo a los usuarios sobre actividad inusual en su cuenta desde Reikiavik, Islandia. La dirección IP asociada es 53.253.117[.]8.
El investigador de ciberseguridad Luc4m fue el primero en detectar esta alerta falsa, que advertía a los usuarios de GitHub sobre una supuesta vulneración de su cuenta y les pedía que actualizasen su contraseña, revisasen las sesiones activas y habilitasen la autenticación de dos factores.
Los enlaces recomendados en estas alertas conducen a una página de autorización de GitHub para una aplicación OAuth llamada «gitsecurityapp», que solicita permisos muy riesgosos. Estos permisos permitirían a un atacante acceder completamente a la cuenta y los repositorios del usuario.
Permisos solicitados por la aplicación maliciosa
- repo: Otorga acceso completo a repositorios públicos y privados.
- user: Capacidad de lectura y escritura en el perfil del usuario.
- read:org: Leer la membresía de la organización, los proyectos de la organización y la membresía del equipo.
- read:discussion, write:discussion: Acceso de lectura y escritura a las discusiones.
- gist: Acceso a los gists de GitHub.
- delete_repo: Permiso para eliminar repositorios.
- workflows, workflow, write:workflow, read:workflow, update:workflow: Control sobre los flujos de trabajo de GitHub Actions.
Si un usuario autoriza la aplicación OAuth maliciosa, se generará un token de acceso y se enviará a la dirección de devolución de llamada de la aplicación. En esta campaña, dicha dirección ha sido varias páginas web alojadas en onrender[.]com (Render).
Si se vio afectado por este ataque de phishing y autorizó por error a la aplicación OAuth maliciosa, debe revocar su acceso inmediatamente.
Para ello, acceda a la configuración de GitHub y luego a Aplicaciones. En la pantalla Aplicaciones, revoque el acceso a cualquier aplicación de GitHub u OAuth que le resulte desconocida o sospechosa. En esta campaña, debe buscar aplicaciones con nombres similares a «gitsecurityapp».
A continuación, busque acciones de GitHub (flujos de trabajo) nuevas o inesperadas y si se crearon gists privados. Finalmente, rote sus credenciales y tokens de autorización.