Verdeckte Aufklärung: Wie ruhende GitHub-Konten die Kartierung der Angriffsfläche von Unternehmen fördern
Datadog Security Labs hat kürzlich eine kritische Warnung bezüglich eines ausgeklügelten und weit verbreiteten Bedrohungsvektors herausgegeben: die systematische Enumeration von GitHub-Organisationen, Repositories und Benutzerkonten von Unternehmen. Diese Aufklärung ist nicht nur opportunistisch, sondern basiert auf einer Mischung aus automatisiertem Scraping, der GitHub-API und einer besonders heimtückischen Taktik – der Nutzung von ruhenden GitHub-„Geisterkonten“, die oft Jahre alt sind, oder kompromittierten OAuth-Tokens und Personal Access Tokens (PATs). Diese Technik ermöglicht es Bedrohungsakteuren, sich in den Hintergrund zu mischen und die digitalen Fußabdrücke von Unternehmen mit alarmierender Effizienz akribisch zu kartieren.
Die sich entwickelnde Bedrohungslandschaft: Sich mit „Geisterkonten“ einfügen
Der Kern der Tarnung dieser Kampagne liegt in der Wahl ihrer Zuordnung. Anstatt neu erstellter, verdächtiger Konten nutzen die Betreiber GitHub-Konten, die über längere Zeiträume inaktiv waren, einige davon seit mehreren Jahren. Diese „Geisterkonten“ besitzen aufgrund ihres Alters und ihrer scheinbaren Inaktivität einen trügerischen Anschein von Legitimität, wodurch sie weniger wahrscheinlich automatische Sicherheitswarnungen auslösen, die auf Kontenerstellungsmustern basieren. Gepaart mit benutzerdefinierten oder seriös klingenden User-Agents führen diese Konten umfangreiche Enumerationsoperationen über die GitHub-API durch und extrahieren wertvolle Metadaten, ohne sofort Verdacht zu erregen.
- Geringe Geräuschkulisse: Alte Konten weisen eine natürliche Historie auf, wodurch ihre Aktivitäten weniger anomal erscheinen als die neu registrierter Profile.
- Kompromittierte Anmeldeinformationen: Die Verwendung kompromittierter OAuth-Tokens oder PATs verschleiert zusätzlich den wahren Ursprung der Aufklärung und deutet auf die eigene Infrastruktur eines Opfers oder eine umfassendere Lieferkettenkompromittierung hin.
- Automatisierte Tools: Ausgeklügelte Scraping-Tools werden eingesetzt, um die GitHub-API systematisch abzufragen und Daten in großem Maßstab programmatisch zu sammeln.
Systematische Enumeration und Kartierung der Angriffsfläche
Das Ziel dieser überlappenden Kampagnen ist klar: ein umfassendes Verständnis der internen Struktur, der Entwicklungspraktiken und potenzieller Schwachstellen einer Zielorganisation aufzubauen. Bedrohungsakteure extrahieren methodisch Informationen wie:
- Organisationsstruktur: Identifizierung von Teams, Abteilungen und deren Verknüpfungen.
- Repository-Erkennung: Katalogisierung öffentlicher und potenziell interner (falls falsch konfiguriert oder über Metadatenlecks) Repositories, einschließlich ihrer Namen, Beschreibungen und Commit-Historien.
- Benutzerkontenprofilierung: Enumeration einzelner Entwickler, ihrer Beiträge, öffentlicher E-Mail-Adressen und zugehöriger Projekte.
- Abhängigkeitskartierung: Analyse von
package.json,requirements.txtoder ähnlichen Dateien zur Identifizierung von Bibliotheken Dritter und potenziellen Schwachstellen in der Lieferkette. - Konfigurationsanalyse: Suche nach exponierten API-Schlüsseln, Anmeldeinformationen, sensiblen Konfigurationen oder Fehlkonfigurationen innerhalb von Repository-Metadaten oder Code-Snippets.
Diese tiefe Metadatenextraktion ermöglicht es Angreifern, eine komplexe Karte der Angriffsfläche des Unternehmens zu erstellen, Schlüsselpersonal, kritische Projekte und potenzielle Schwachstellen für nachfolgendes Social Engineering, gezieltes Phishing oder direkte Ausnutzung zu identifizieren.
Verteidigungsstrategien und -minderung
Der Schutz vor solch verdeckter Aufklärung erfordert einen mehrschichtigen Ansatz, der sich auf proaktive Überwachung, strenge Zugriffskontrollen und robuste forensische Fähigkeiten konzentriert.
- Proaktive Überwachung & Alarmierung: Implementieren Sie eine kontinuierliche Überwachung der GitHub-Audit-Logs auf anomale API-Aktivitäten, ungewöhnliche Zugriffsmuster aus bestimmten IP-Bereichen oder übermäßige Enumerationsversuche. Konfigurieren Sie Warnungen für API-Anfragen mit hohem Volumen, insbesondere von unbekannten User-Agents oder Konten.
- Strenge Zugriffskontrolle & geringste Privilegien: Überprüfen und widerrufen Sie regelmäßig ruhende oder unnötige Personal Access Tokens (PATs) und OAuth-Anwendungsgenehmigungen. Setzen Sie das Prinzip der geringsten Privilegien durch, um sicherzustellen, dass PATs und Anwendungstoken nur die minimal notwendigen Berechtigungen besitzen.
- GitHub-Organisationshärtung: Überprüfen und beschränken Sie die öffentliche Sichtbarkeit von Organisationsmitgliedern und Repositories, wo dies nicht unbedingt erforderlich ist. Nutzen Sie interne Repository-Einstellungen, um versehentliche Exposition zu verhindern.
- Kontenhygiene & MFA: Erzwingen Sie eine starke Multi-Faktor-Authentifizierung (MFA) für alle GitHub-Konten, insbesondere für Organisationsmitglieder. Implementieren Sie Richtlinien zur Identifizierung und Deaktivierung wirklich ruhender Konten, um deren Kompromittierung und Missbrauch zu verhindern.
- Sicherheitsbewusstsein der Entwickler: Schulen Sie Entwickler über die Risiken der Offenlegung öffentlicher Informationen, sichere Codierungspraktiken und die Bedeutung eines wachsamen PAT- und Token-Managements.
Digitale Forensik und Bedrohungsattribution
Wenn verdächtige Aktivitäten erkannt werden, ist eine schnelle und gründliche digitale forensische Untersuchung von größter Bedeutung. Die Analyse der GitHub-Audit-Logs kann die Quell-IP-Adressen, User-Agents und spezifischen API-Aufrufe des Bedrohungsakteurs aufdecken. Die Korrelation dieser Daten mit internen Netzwerkprotokollen und externen Bedrohungsinformationen kann bei der Zuordnung der Aktivität helfen.
Für die erweiterte Telemetrie-Erfassung während einer Untersuchung, insbesondere beim Umgang mit verdächtigen Links oder Kommunikationen, können Tools wie iplogger.org defensiv genutzt werden. Durch das Einbetten eines Tracker-Links in eine kontrollierte Umgebung können Sicherheitsforscher erweiterte Telemetriedaten wie die ursprüngliche IP-Adresse, den User-Agent-String, ISP-Informationen und Geräte-Fingerabdrücke der interagierenden Entität sammeln. Diese Daten sind von unschätzbarem Wert, um die Infrastruktur des Angreifers, seinen geografischen Ursprung und die von ihm verwendeten Tools zu verstehen, was die Zuordnung von Bedrohungsakteuren erheblich erleichtert und die Verteidigungspositionen verfeinert. Es ist entscheidend, solche Tools ethisch und legal zu verwenden, ausschließlich für die defensive Analyse und Reaktion auf Vorfälle.
Fazit
Die Nutzung ruhender GitHub-Konten für die Unternehmensaufklärung stellt eine subtile, aber äußerst effektive Strategie für Bedrohungsakteure dar. Indem sie sich in das legitime Hintergrundrauschen einfügen, kartieren diese Kampagnen systematisch die digitalen Assets von Unternehmen und ebnen den Weg für gezieltere und wirkungsvollere Angriffe. Organisationen müssen eine proaktive und wachsame Haltung einnehmen, die robuste technische Kontrollen mit umfassender Entwicklerschulung kombiniert, um ihr geistiges Eigentum und die Integrität ihrer Lieferkette vor dieser sich entwickelnden Bedrohung zu schützen.