El ataque de la sujeción de suministro que involucra la bono de Github «TJ-Actions/Cambied-Files» comenzó como un ataque muy dirigido contra uno de los proyectos de código rajado de Coinbase, antiguamente de cambiar a poco más generalizado.
«La carga útil se centró en explotar el flujo manifiesto de CI/CD de uno de sus proyectos de código rajado: Agentkit, probablemente con el propósito de aprovecharlo para obtener más compromisos», dijo Palo Stop Networks Unit 42 en un noticia. «Sin requisa, el atacante no pudo usar secretos de Coinbase o transmitir paquetes».
El incidente salió a la luz el 14 de marzo de 2025, cuando se descubrió que «TJ-Actions/Change-Files» se vio comprometido a inyectar código que filtró secretos confidenciales de los repositorios que ejecutaban el flujo de trabajo. Se le ha asignado el identificador CVE CVE-2025-30066 (puntaje CVSS: 8.6).
Según Endor Labs, se estima que 218 repositorios de GitHub han expuesto sus secretos conveniente al ataque de la sujeción de suministro, y la mayoría de la información filtrada incluye una «docena de credenciales» para Dockerhub, NPM y Amazon Web Services (AWS), así como GitHub Instalating Tokens.
«La escalera original del ataque de la sujeción de suministro sonó aterrador, considerando que decenas de miles de repositorios dependen de la bono de GitHub», dijo el investigador de seguridad Henrik Plate.
«Sin requisa, la profundización en los flujos de trabajo, sus corridas y secretos filtrados muestran que el impacto verdadero es beocio de lo previsto: ‘solo’ 218 repositorios filtrados secretos, y la mayoría de ellos son GitHub_tokens de corta duración, que expiran una vez que se completa una ejecución de flujo de trabajo».
Desde entonces, ha surgido que la formalidad V1 de otra bono de GitHub indicación «ReviewDog/Action-Setup», que «TJ-Actions/cambió de archivos» se basamento como una dependencia a través de «TJ-Actions/Eslint-Changed-Files», igualmente se comprometió en el incidente de TJ-Actions con una carga útil similar. La violación de «ReviewDog/Action-Setup» se está rastreando como CVE-2025-30154 (puntaje CVSS: 8.6).
Se dice que la explotación de CVE-2025-30154 ha permitido al actor de amenaza no identificado obtener un token de comunicación personal (PAT) asociado con «TJ-Actions/Cambied-Files», permitiéndoles modificar el apositorio y empujar el código bellaco, a su vez, impactando cada repositorio de Github que dependía de la bono.
«Cuando se ejecutó la bono TJ-Actions/Eslint-Changed-Files, los secretos de corredores de CI TJ-Actions/Cambied Files se filtraron, lo que permite a los atacantes robar las credenciales utilizadas en el corredor, incluido un token de comunicación personal (Pat) perteneciente a la cuenta de usufructuario de TJ-Bot-Github,» Pelotón 42 Investigadores Omer Gille, AviAd Hahami, Asi, Asi, y y y las Acciones de TJ-Bot, y Y y YiRiLts, y Y y YiNiTiLts, AVIATHS, AVILITTS, ASI, AVILITA AVITITALS, ASI AVITITA, ASI AVILTITAS, Y YABON Y YANTIL dicho.
Actualmente se sospecha que el atacante logró obtener comunicación de alguna modo a un token con comunicación de escritura a la estructura ReviewDog para hacer las modificaciones deshonestas. Dicho esto, la forma en que puede poseer sido adquirida esta ficha sigue siendo desconocida en esta etapa.
Por otra parte, se dice que el bellaco se compromete a «revisar dog/bono de bono» se llevó a punta primero bifurcando el repositorio correspondiente, cometiendo cambios en él y luego creando una solicitud de cuna de divergencia al repositorio llamativo y, en última instancia, introduciendo comodidades arbitrarias, un proscenio llamado un compromiso colgante.
«El atacante tomó medidas significativas para ocultar sus huellas utilizando diversas técnicas, como usar las confirmaciones colgantes, crear múltiples cuentas temporales de usuarios de GitHub y ofuscando sus actividades en los registros de flujo de trabajo (especialmente en el ataque original de Coinbase)», Gil, Jefe de Investigación Senior de Palo Stop Networks, contó a The Hacker News. «Estos hallazgos indican que el atacante es en gran medida hábil y tiene una comprensión profunda de las amenazas de seguridad de CI/CD y las tácticas de ataque».
La Pelotón 42 teorizó que la cuenta de usufructuario detrás de la solicitud de cuna de la horquilla «ILRMKCU86TJWP8» puede poseer estado oculta de la audiencia pública luego de que el atacante cambió de una dirección de correo electrónico legítima proporcionada durante el registro a un correo electrónico desechable (o ignorado) en violación de la política de Github.
Esto podría poseer causado que todas las interacciones y acciones realizadas por el usufructuario estén ocultas. Sin requisa, cuando se contactó para hacer comentarios, Github no confirmó ni negó la hipótesis, pero dijo que está revisando activamente la situación y tomando medidas según sea necesario.
«Actualmente no hay evidencia que sugiera un compromiso de GitHub o sus sistemas. Los proyectos destacados son proyectos de código rajado mantenidos por los usuarios», dijo un portavoz de GitHub a The Hacker News.
«GitHub continúa revisando y tomando medidas sobre los informes de los usuarios relacionados con el contenido del repositorio, incluidos el malware y otros ataques maliciosos, de acuerdo con las políticas de uso aceptables de GitHub. Los usuarios siempre deben revisar las acciones de GitHub o cualquier otro paquete que estén utilizando en su código antiguamente de poner al día las nuevas versiones. Eso sigue siendo cierto aquí como en todas las demás casos de uso de un tercer código».
Una búsqueda más profunda de GitHub Forks of TJ-Actions/Cambied-Files ha llevado al descubrimiento de otras dos cuentas «2ft2dko28uaztz» y «mmvojwip», que desde entonces se han eliminado de la plataforma. Incluso se ha incompatible que ambas cuentas crean horquillas de repositorios relacionados con Coinbase como Onchainkit, AgentKit y X402.
Un examen más detallado ha descubierto que las cuentas modificaron el archivo «ChangeLog.yml» en el repositorio de AgentKit utilizando una solicitud de cuna de horquillas para señalar una traducción maliciosa de «TJ-Actions/Change-Files» publicada anteriormente usando el PAT.
Se cree que el atacante obtuvo un token de GitHub con permisos de escritura al repositorio de agente, a su vez facilitado por la ejecución de las acciones de Github TJ-Actions/Cambied-Files, para realizar los cambios no autorizados.
Otro aspecto importante que vale la pena destacar es la diferencia en las cargas enseres utilizadas en uno y otro casos, lo que indica los intentos de parte del atacante de permanecer bajo el radar.
«El atacante usó diferentes cargas enseres en diferentes etapas del ataque. Por ejemplo, en el ataque generalizado, el atacante abandonó la memoria del corredor y los secretos impresos almacenados como variables de entorno para el registro del flujo de trabajo, independientemente de qué flujo de trabajo se estaba ejecutando», dijo Gil.
«Sin requisa, al apuntar a Coinbase, el atacante obtuvo específicamente el GitHub_Token y aseguró que la carga útil solo se ejecutaría si el repositorio pertenecía a Coinbase».
Actualmente no se sabe cuál era el objetivo final de la campaña, se sospecha «fuertemente» que la intención era una rendimiento financiera, probablemente intentando tolerar al robo de criptomonedas, dada la orientación hiperpecífica de Coinbase, señaló Gil. A partir del 19 de marzo de 2025, el intercambio de criptomonedas ha remediado el ataque.
Siquiera está claro qué llevó al atacante a cambiar de marcha, convirtiendo lo que fue un ataque inicialmente dirigido convertido en una campaña a gran escalera y menos sigilosa.
«Una hipótesis es que luego de darse cuenta de que no podían usar su token para envenenar el repositorio de Coinbase, y al enterarse de que Coinbase había detectado y mitigado el ataque, el atacante temía perder comunicación a la bono de TJ-Actions/Change-Files», dijo Gil.
«Transmitido que el compromiso de esta bono podría proporcionar comunicación a muchos otros proyectos, pueden poseer decidido desempeñarse rápidamente. Esto podría explicar por qué lanzaron el ataque generalizado solo 20 minutos luego de que Coinbase mitigó la exposición a su parte a pesar del anciano aventura de detección».
