625/69 (IT) ประจำวันศุกร์ที่ 13 พฤศจิกายน 2569
นักวิจัยด้านความมั่นคงปลอดภัยจากบริษัท Aikido เปิดเผยการตรวจพบแคมเปญโจมตีชื่อว่า wfx-loot ซึ่งผู้ไม่หวังดีได้นำบัญชี GitHub ที่ถูกยึดครองจำนวน 4,837 บัญชี ไปใช้ตรวจสอบและเจาะระบบคลังโค้ด (Repository) จำนวนถึง 61,764 แห่ง เพื่อขโมยข้อมูลความลับใน GitHub Actions และข้อมูลรับรองสำหรับเข้าถึงระบบคลาวด์ โดยยืนยันแล้วว่ามีคลังโค้ดที่ถูกขโมยข้อมูลความลับไปแล้วอย่างน้อย 1,835 แห่ง เหตุการณ์นี้ส่งผลกระทบต่อความมั่นคงปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์อย่างมาก เนื่องจากบัญชีที่ถูกนำไปใช้บางส่วนเป็นขององค์กรระดับ Fortune 100 หน่วยงานภาครัฐของสหรัฐอเมริกาและฝรั่งเศส โครงการโอเพนซอร์สอย่าง Nextcloud และ WebdriverIO รวมถึงมีประมาณ 50 บัญชีที่มีสิทธิ์เผยแพร่แพ็กเกจไปยังระบบนิเวศสำคัญ เช่น npm, PyPI, Go, crates และ Packagist
การโจมตีเริ่มต้นเมื่อวันที่ 10 พฤศจิกายน โดยผู้โจมตีสร้างคำขอแก้ไขโค้ด (Pull Request) ชื่อ docs: dependency audit notes เพื่อทดสอบสิทธิ์การเขียนข้อมูล หากพบคลังโค้ดที่เข้าถึงได้จะฝังสคริปต์ผ่านเวิร์กโฟลว์ของ GitHub Actions หรือขั้นตอนติดตั้ง npm เพื่อขโมยโทเคน ข้อมูลรับรองระบบคลาวด์ของ AWS, Azure และ Google Cloud คีย์เครื่องมือนักพัฒนาอย่าง Docker, Kubernetes และ Terraform ไปจนถึงคีย์บริการ AI เช่น OpenAI, Anthropic, Gemini และ GitHub Copilot พร้อมทั้งนำโทเคน OIDC ไปยกระดับสิทธิ์เพื่อสร้างบัญชีถาวรในระบบคลาวด์ ก่อนจะส่งข้อมูลออกและลบประวัติการทำงานทิ้งภายในไม่ถึงหนึ่งนาที ทั้งนี้ การโจมตียังส่งผลให้โค้ดอันตรายหลุดรอดไปยังแพ็กเกจ digitalelvis/neuronai-studio เวอร์ชัน 3.14.3 บน Packagist และโมดูลภาษา Go ชื่อ github.com/onuragtas/docker-env เวอร์ชัน v1.0.278 และ v1.0.280 ซึ่งมีความคล้ายคลึงกับแคมเปญ GhostAction โดยองค์กรควรจำกัดสิทธิ์ของโทเคนและตั้งค่าการรับรองสิทธิ์ OIDC ให้รัดกุมอยู่เสมอ
เพื่อลดความเสี่ยง ผู้ดูแลระบบและนักพัฒนาควรเร่งตรวจสอบคลังโค้ด GitHub ของตนเองทันที โดยสังเกตหากิ่งโค้ดชื่อ wfx-docs รายการ Pull Request ที่ชื่อ docs: dependency audit notes และช่องว่างของลำดับหมายเลขการทำงานในเวิร์กโฟลว์ที่อาจถูกลบไป รวมถึงหลีกเลี่ยงการใช้งานแพ็กเกจเวอร์ชันที่ได้รับผลกระทบ หากยืนยันได้ว่าเวิร์กโฟลว์อันตรายถูกรันในระบบแล้ว ต้องดำเนินการเพิกถอนและเปลี่ยนรหัสลับ คีย์ API รวมถึงสิทธิ์การเข้าถึงระบบคลาวด์ทั้งหมดที่เกี่ยวข้องทันที พร้อมตรวจสอบการตั้งค่าสิทธิ์ IAM เพื่อป้องกันการฝังตัวระยะยาวของผู้โจมตี