メガロドンがGitHubを攻撃し、5500件以上のリポジトリに悪意あるコードを感染させる。

GitHubへのサイバー攻撃：マルウェアアプリケーションMegalodonが数千のリポジトリを感染させる

*イベント日時*: 月曜日、5月18日

*攻撃対象*: GitHub開発プラットフォーム

*被害規模*: 5,500件以上のリポジトリ

何が起きたか？
5月18日の約6時間にわたり、マルウェアアプリケーションMegalodonはGitHub上で5,561件を超えるリポジトリに「悪意ある」コミットを挿入しました。これらのプロジェクトの所有者がそのようなコミットを有効化すると、自動的にCI/CDサーバー（継続的インテグレーション/継続的デプロイメント）上でマルウェアコードが実行されます。これにより、攻撃者はプロジェクトのインフラ内で迅速にプログラムを拡散できるようになります。

Megalodonの仕組み
1. CI/CD認証情報の盗難
- AWSシークレットキー、Google CloudおよびAzureトークン
- クラウドプロバイダーインスタンスのメタデータ
- 秘密SSHキー、Docker/Kubernetes設定
- Vaultトークン、Terraform認証情報

2. ソースコードスキャン
- 30以上の正規表現を使用して隠れたトークンやキーを検索

3. GitHubトークン取得
- クラウドプロバイダーおよびBitbucketの認証トークンも含め、攻撃者が開発者として偽装しクラウドサービスにアクセスできるようにする

初出場所
マルウェアコードはオープンプラットフォームTiledesk（オンラインチャットとチャットボットシステム）で検出されました。
- プロジェクト管理者が「クリーン」バージョン2.18.5を公開した後、2.18.6（5月19日）から2.18.12（5月21日）のバージョンに承認し、バックドアを含めました。

ハッカーグループとの関連
- 同様の手法を使用しているTeamPCPというグループが存在します。
- ただし、Megalodonキャンペーンへの直接的な関与は確認されていません。
- TeamPCPはサプライチェーン攻撃コンテストを開催しましたが、参加者はコードに公開鍵を追加する必要があります。Megalodonの作者はおそらくその一員ではありません。

活動追跡
研究者はマルウェアコードの活動を2つのメールアドレスに結び付けました。
- これらのアドレスから5,561件のリポジトリへコミットが送信されました。
- すべての変更は6時間少し超えて5月18日に行われました。

まとめ
GitHubへの定期的な侵害は、リポジトリが閉鎖されていても企業の安全を脅かします。マルウェアはインフラに浸透し続けており、その拡散を完全に止めることはまだできていません