很多工程師認為，只要把私有儲存庫（Private Repository）設為私有，或者沒有在公開頁面洩漏金鑰，GitHub 上的資安風險就很低。然而，Datadog Security Labs 最近揭露的一項攻擊趨勢提醒我們，攻擊者在真正發動攻擊前，會利用一種極其低調的偵察手段，將企業的組織結構、成員關係與公開資產完整地繪製成圖譜。
這類攻擊的核心不在於暴力破解，而是在於如何讓惡意行為在監控系統中看起來像正常的開發者活動。
利用沉睡帳號規避偵測
在一般的自動化掃描攻擊中，攻擊者通常會大量創建新帳號來呼叫 API。但現代的資安監控系統很容易偵測到這種模式：一個剛註冊的帳號突然對數十個企業組織發起高頻率的 API 請求，這會立即觸發紅旗警報。
為了規避偵測，攻擊者採取了所謂的幽靈帳號（Ghost Accounts）策略。他們使用兩到五年前創建但長期處於不活躍狀態的沉睡帳號。對系統而言，這些帳號具有一定的歷史信用，且並非新建立的臨時帳號。當這些帳號被重新啟用並開始發送請求時，其行為模式更容易與正常的開發者活動混淆，從而繞過許多基於帳號年限或行為基線的異常偵測機制。
除了沉睡帳號，攻擊者還會混用被盜取的 OAuth Token（第三方授權令牌）或 PAT（Personal Access Tokens，個人訪問令牌）。PAT 是開發者用來在命令行或腳本中驗證身份的密鑰，如果開發者不慎將其上傳至公開儲存庫或在不安全的環境中洩漏，攻擊者就能以合法用戶的身份在企業內部進行移動。
API 偵察的實務脈絡
攻擊者主要利用 GitHub API 的公開端點進行資訊搜集。由於 GitHub API 的很大一部分功能不需要身份驗證即可訪問，或者僅需基本驗證即可獲取公開資訊，這讓攻擊者能低成本地執行以下操作：
首先是組織映射。透過列出組織的所有公開儲存庫，攻擊者可以了解企業目前的技術棧、使用的框架以及公開的專案結構。
其次是社交圖譜分析。透過分析用戶的追蹤者（Followers）與被追蹤（Following）名單，以及查看 Gists 和星標（Starred）儲存庫，攻擊者可以推斷出誰是該公司的核心開發者，或者哪些員工對特定敏感技術感興趣。
最後是利用 GraphQL 查詢。與傳統的 REST API 不同，GraphQL 允許攻擊者在單次請求中獲取更深層次的關聯數據，大幅提升了繪製組織成員關係圖的效率。
從公開資訊到私有數據的跳躍
雖然大部分的偵察活動僅限於公開數據，但這正是最危險的地方。偵察是攻擊生命週期中的第一步。一旦攻擊者透過 API 掌握了組織成員名單與其開發習慣，他們就能精準地發動社交工程攻擊，或者針對特定洩漏的 PAT 進行嘗試。
Datadog 發現，部分攻擊者在完成公開資訊盤點後，已成功利用獲取的權限克隆了特定組織的私有儲存庫。這意味著偵察活動一旦完成，接下來就是真正的數據外洩或供應鏈污染。
對開發者的影響與防禦建議
對於 Junior 工程師或團隊領隊來說，這次事件揭示了兩個重要的資安意識：
第一，不要低估公開資訊的組合威力。單一個人的公開儲存庫或追蹤名單看似無害，但當攻擊者用自動化工具將數百名員工的公開資訊聚合在一起時，就能形成一份精確的企業內部開發地圖。
第二，嚴格管理 PAT 與 Token。PAT 具有極高的權限且通常有效期較長，一旦洩漏，攻擊者不需要密碼或二階段驗證就能直接訪問你的資源。建議使用具有過期時間的 Fine-grained PATs（細粒度令牌），並僅授予必要的最小權限。
總結來說，這次攻擊趨勢顯示出攻擊者正變得更加耐心。他們不再追求快速突破，而是透過沉睡帳號與 API 盤點，在不觸發警報的情況下，將企業的開發生態系統透明化，為後續的滲透鋪路。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。