De aanval van de supply chain met de GitHub-actie “TJ-acties/veranderde pijlen” begon als een zeer gerichte aanval op een van de open-source-projecten van Coinbase, voordat hij zich ontwikkelde naar iets wijdverbreider in reikwijdte.
“De payload was gericht op het benutten van de openbare CI/CD -stroom van een van hun open source -projecten – Agentkit, waarschijnlijk met als doel het te gebruiken voor verdere compromissen,” zei Palo Alto Networks Unit 42 in een rapport. “De aanvaller was echter niet in staat om coinbase -geheimen te gebruiken of pakketten te publiceren.”
Het incident kwam aan het licht op 14 maart 2025, toen werd vastgesteld dat “TJ-acties/gewijzigde pijlen” werden aangetast om code te injecteren die gevoelige geheimen lekte van repositories die de workflow runden. Het heeft de CVE-ID-IDS-CVE-2025-30066 toegewezen (CVSS-score: 8.6).
Volgens Endor Labs worden naar schatting 218 GitHub -repositories hun geheimen blootgesteld vanwege de supply chain -aanval, en een meerderheid van de gelekte informatie omvat een “enkele tientallen” inloggegevens voor DockerHub, NPM en Amazon Web Services (AWS), evenals Github -installatie -toegang tot TOKENS.
“De eerste schaal van de aanval van de supply chain klonk eng, gezien het feit dat tienduizenden repositories afhankelijk zijn van de GitHub -actie,” zei beveiligingsonderzoeker Henrik Plate.
“Boren echter naar de workflows, hun runs en gelekte geheimen blijkt dat de werkelijke impact kleiner is dan verwacht: ‘Alleen’ 218 repositories lekte geheimen, en de meeste daarvan zijn kortstondig GitHub_Tokens, die aflopen zodra een workflowrun is voltooid. ‘
Sindsdien is het verschijnen dat de V1-tag van een andere GitHub-actie “ReviewDog/Action-Setup” wordt genoemd, die “TJ-Actions/Changed-Files” afhankelijk is van een afhankelijkheid via “TJ-Actions/Eslint-Changed-Files”, ook gecompromitteerd in de aanleiding tot het TJ-Actions-incident met een vergelijkbare payload. De inbreuk op “ReviewDog/Action-Setup” wordt gevolgd als CVE-2025-30154 (CVSS-score: 8.6).
De uitbuiting van CVE-2025-30154 zou de niet-geïdentificeerde dreigingsacteur in staat hebben gesteld om een persoonlijk toegang token (PAT) te verkrijgen dat is geassocieerd met “TJ-acties/veranderde pilen,” waardoor ze de repository kunnen wijzigen en de kwaadaardige code kunnen pushen, op zijn beurt van invloed op elke github-repository die van de actie was van de actie.
“When the tj-actions/eslint-changed-files action was executed, the tj-actions/changed-files CI runner’s secrets were leaked, allowing the attackers to steal the credentials used in the runner, including a Personal Access Token (PAT) belonging to the tj-bot-actions GitHub user account,” Unit 42 researchers Omer Gil, Aviad Hahami, Asi Greenholts, and Yaron Zei Avital.
Het wordt momenteel vermoed dat de aanvaller erin is geslaagd om op de een of andere manier toegang te krijgen tot een token met schrijftoegang tot de ReviewDog -organisatie om de malafide wijzigingen aan te brengen. Dat gezegd hebbende, de manier waarop dit token mogelijk is verworven, blijft in dit stadium onbekend.
Verder wordt gezegd dat de kwaadaardige commits om “reviewDog/Action-Setup” te beoordelen, zijn uitgevoerd door eerst de bijbehorende repository te forceren, er wijzigingen aan te plegen en vervolgens een vork-pull-aanvraag in te stellen in de oorspronkelijke repository en uiteindelijk willekeurige commits te introduceren-een scenario genaamd een bungelbuis.
“De aanvaller heeft aanzienlijke maatregelen genomen om hun tracks te verbergen met behulp van verschillende technieken, zoals het benutten van bungelende commits, het creëren van meerdere tijdelijke GitHub -gebruikersaccounts en het verdoezelen van hun activiteiten in workflow -logs (vooral in de eerste coinbase -aanval),” vertelde Gil, senior onderzoeksmanager bij Palo Alto Networks, aan het hackernieuws. “Deze bevindingen geven aan dat de aanvaller zeer bekwaam is en een diep begrip heeft van CI/CD -beveiligingsbedreigingen en aanvalstactieken.”
Unit 42 theoretiseerde dat het gebruikersaccount achter het vork -pull -aanvraag “ILRMKCU86TJWP8” mogelijk verborgen was voor de openbare weergave nadat de aanvaller is overgeschakeld van een legitiem e -mailadres dat tijdens registratie wordt verstrekt naar een wegwerp (of anoniem) e -mail in strijd met het beleid van GitHub.
Dit zou alle interacties en acties die door de gebruiker zijn uitgevoerd, hebben kunnen worden verborgen. Toen GitHub echter werd bereikt, heeft GitHub de hypothese niet bevestigd of geweigerd, maar zei dat het de situatie actief wordt herzien en actie ondernemen indien nodig.
“Er is momenteel geen bewijs om een compromis van GitHub of zijn systemen te suggereren. De gemarkeerde projecten zijn door gebruikersonderhoudende open-source projecten,” vertelde een woordvoerder van GitHub aan The Hacker News.
“GitHub blijft beoordelen en actie ondernemen op gebruikersrapporten met betrekking tot de inhoud van de repository, inclusief malware en andere kwaadaardige aanvallen, in overeenstemming met het acceptabele gebruiksbeleid van Github. Gebruikers moeten altijd GitHub -acties of een ander pakket bekijken dat ze in hun code gebruiken voordat ze bijwerken naar nieuwe versies. Dat blijft hier waar als in alle andere gevallen van derde partijcode.”
Een diepere zoektocht naar GitHub-vorken van TJ-acties/veranderde-pijlen heeft geleid tot de ontdekking van twee andere accounts “2ft2dko28uaztz” en “Mmvojwip”, die sindsdien beide van het platform zijn verwijderd. Beide accounts zijn ook gevonden om vorken te maken van coinbase-gerelateerde repositories zoals Onchainnit, Agentkit en X402.
Verder onderzoek heeft ontdekt dat de accounts het “changelog.yml” -bestand in de AgentKit-repository hebben gewijzigd met behulp van een vork-pull-verzoek om te wijzen op een kwaadaardige versie van “TJ-acties/gewijzigde piles” die eerder werden gepubliceerd met behulp van de PAT.
De aanvaller wordt verondersteld een GitHub-token te hebben verkregen met schrijfrechten voor de Agentkit-repository-op zijn beurt gefaciliteerd door de uitvoering van de TJ-acties/veranderde pilen GitHub-acties-om de ongeoorloofde wijzigingen aan te brengen.
Een ander belangrijk aspect dat de moeite waard is om te benadrukken, is het verschil in payloads die in beide gevallen worden gebruikt, wat duidt op pogingen op een deel van de aanvaller om onder de radar te blijven.
“De aanvaller gebruikte verschillende payloads in verschillende fasen van de aanval. Bijvoorbeeld, in de wijdverbreide aanval heeft de aanvaller het geheugen van de hardloper gedumpt en geprinte geheimen opgeslagen als omgevingsvariabelen naar het logboek van de workflow, ongeacht welke workflow actief was,” zei Gil.
“Bij het richten op Coinbase haalde de aanvaller echter specifiek de GitHub_Token op en zorgde ervoor dat de payload alleen zou worden uitgevoerd als de repository tot Coinbase behoorde.”
Het is momenteel niet bekend wat het einddoel van de campagne was, het is “sterk” vermoed dat de bedoeling financieel gewin was, waarschijnlijk een poging om cryptocurrency diefstal uit te voeren, gezien de hyperspecifieke targeting van Coinbase, zei Gil. Vanaf 19 maart 2025 heeft de cryptocurrency -uitwisseling de aanval verholpen.
Het is ook niet duidelijk wat de aanvaller ertoe heeft aangezet om van versnelling te wisselen, waardoor wat een aanvankelijk gerichte aanval was, werd omgezet in een grootschalige en minder heimelijke campagne.
“Een hypothese is dat, nadat ze zich hadden gerealiseerd, hun token niet konden gebruiken om de Coinbase-repository te vergiftigen-en bij het leren dat Coinbase de aanval had gedetecteerd en verzacht-vreesde de aanvaller dat de toegang tot de TJ-acties/veranderde-Files actie had verloren,” zei Gil.
“Omdat het in gevaar brengen van deze actie toegang zou kunnen bieden tot vele andere projecten, hebben ze misschien besloten om snel te handelen. Dit zou kunnen verklaren waarom ze de wijdverbreide aanval lanceerden, slechts 20 minuten nadat Coinbase de blootstelling aan hun kant heeft beperkt, ondanks het verhoogde risico van detectie.”
