SmokedMeat

Framework de Red Team para CI/CD

Como o Metasploit, mas para pipelines CI/CD.

Feito pelos criadores do poutine, scanner SAST de pipeline de build, no BoostSecurity Labs.

Aviso: Esta ferramenta é apenas para testes de segurança autorizados.

O SmokedMeat existe porque as ameaças a pipelines CI/CD são profundamente subestimadas. O treinamento tradicional de segurança raramente cobre ataques à cadeia de suprimentos, deixando os defensores despreparados para técnicas que adversários exploram ativamente no mundo real.

Construímos isto para dar às equipes de segurança a capacidade de aprender, praticar e validar defesas contra técnicas avançadas de ataque CI/CD por meio de exercícios realistas de red team.

Use apenas contra sistemas que você possui ou para os quais tem permissão explícita por escrito para testar.

O que é SmokedMeat?

SmokedMeat é um framework de pós-exploração para pipelines CI/CD. Aponte para uma organização do GitHub, deixe-o encontrar workflows vulneráveis, implante um implant em um runner comprometido, então mova-se lateralmente por provedores de nuvem, extraia segredos e mapeie o raio de destruição — tudo a partir de uma interface de terminal.

O que ele faz:

1. Analisar – Escaneie workflows de GitHub Actions de uma organização em busca de vulnerabilidades de injeção, triggers perigosos e padrões inseguros de checkout (alimentado pelo poutine)
2. Explorar – Implante um stager via PR, issue, comentário ou workflow dispatch. Quando o workflow vulnerável for executado, ele baixa e executa o implant no runner de CI.
3. Pós-explorar – Extraia segredos da memória do runner, enumere permissões de tokens do GitHub, escaneie chaves privadas e colete loot
4. Movimentar lateralmente – Use credenciais capturadas para se mover lateralmente: descubra repositórios privados, gere tokens de GitHub App, troque tokens OIDC por acesso AWS/GCP/Azure, teste chaves SSH de deploy

Filosofia: Ousado e barulhento. Esta não é uma ferramenta de evasão de EDR. É um framework de demonstração que mostra quão profundo um comprometimento de CI/CD vai antes de qualquer coisa disparar um alerta.

Para quem é:

• Red teams validando a postura de segurança de CI/CD em ambientes corporativos
• Pentesters demonstrando caminhos de ataque à cadeia de suprimentos para stakeholders
• Engenheiros de segurança testando detecção e resposta para ataques a pipelines
• Pesquisadores desenvolvendo novas técnicas de exploração de CI/CD
• Caçadores de bugs explorando superfície de ataque da cadeia de suprimentos

Início Rápido

Para experimentar o SmokedMeat pela primeira vez, instale Docker e make. Go não é necessário.

git clone https://github.com/boostsecurityio/smokedmeat.git
cd smokedmeat
make quickstart

make quickstart é a primeira execução recomendada. Ela inicia a stack de quickstart da versão estável localmente e lança a TUI do operador (Counter) contra o teamserver C2 local (Kitchen).

Primeira execução recomendada:

• Alvo: whooli
• Token: PAT clássico com public_repo

⚠ Prefira um PAT clássico. PATs de granularidade fina podem ser muito restritivos e podem bloquear o teste de alvos públicos em outras organizações, incluindo whooli.

whooli é o playground de ataque CI/CD deliberadamente vulnerável do SmokedMeat. É o primeiro alvo recomendado para o caminho público.

O assistente de configuração guia você por:

1. GitHub PAT – Insira seu token. Para repositórios privados, um PAT clássico geralmente precisará de repo.
2. Alvo – Digite whooli ou sua própria org/repositório
3. Análise – Escaneia workflows em busca de vulnerabilidades e apresenta descobertas exploráveis

Para o fluxo completo de desafio, veja o guia whooli ou vá direto para a org GitHub whooli.

Quando terminar:

make quickstart-down       # Parar contêineres
make quickstart-purge      # Parar e deletar todos os dados

Se preferir trabalhar a partir do código-fonte, veja Desenvolvimento.

Desenvolvimento

Se você está contribuindo ou iterando na árvore de código-fonte localmente, instale Go 1.26+ e use o quickstart de desenvolvimento:

make dev-quickstart

make dev-quickstart constrói a imagem local smokedmeat-cloud-shell, inicia cloudflared, nats, e o teamserver C2 (Kitchen), então lança a TUI do operador a partir do código-fonte.

Se você quiser a infraestrutura primeiro e a TUI do operador depois:

make dev-quickstart-up
make dev-quickstart-counter

Quando terminar:

make dev-quickstart-down   # Parar contêineres
make dev-quickstart-purge  # Parar e deletar todos os dados

Mais modos de implantação e detalhes de desenvolvimento local estão em docs/deployment.md.

Verificação de Versão

O Counter verifica se há novas versões do SmokedMeat na inicialização. Pode ser desabilitado definindo a variável de ambiente SMOKEDMEAT_DISABLE_VERSION_CHECK.

Componentes Principais

Modos de Implantação

O Teamserver Hospedado roda o teamserver C2 em um host dedicado e a TUI do operador nativamente em cada estação de trabalho do operador.

Arquitetura

Em alto nível, a TUI do operador (Counter) conversa com o teamserver C2 (Kitchen), que gerencia implants (Brisket) rodando em runners de CI comprometidos e serve o grafo de ataque ao vivo.

┌──────────────┐
│  SSH AGENT   │
│   (Auth)     │
└──────┬───────┘
       │
       ▼
┌──────────────┐                 ┌──────────────┐
│  THE COUNTER │ ───────────────▶│  THE KITCHEN │
│  (Operator)  │    WebSocket    │ (Teamserver) │
│  Bubbletea   │◀─────────────── │              │
│     TUI      │   Events/Graph  │ ┌──────────┐ │
└──────────────┘                 │ │ Database │ │
                                 │ └──────────┘ │
┌──────────────┐                 │              │
│   BROWSER    │ ───────────────▶│              │
│  Graph View  │    WebSocket    │              │
│  Visualizer  │◀─────────────── │              │
└──────────────┘   Live Updates  └──────────────┘
                                   │         ▲
                                   │         │
                        Creates PR │         │ Stager fetches implant binary
                                   │         │ Implant HTTP Beacon/Commands
                                   ▼         │
┌────────────────────────────────────────────┴──────────────────────────────────┐
│  GITHUB.COM                                                                   │
│                                                                               │
│  ┌─────────────────────┐          ┌─────────────────────────────────────────┐ │
│  │  Malicious PR       │ triggers │  GitHub Actions Runner                  │ │
│  │  (Vulnerable        │─────────▶│                                         │ │
│  │   Workflow)         │          │  ┌────────────┐      ┌────────────────┐ │ │
│  └─────────────────────┘          │  │  Stager    │─────▶│  THE BRISKET   │ │ │
│                                   │  │            │      │  (Implant)     │ │ │
│                                   │  └────────────┘      └────────────────┘ │ │
│                                   └─────────────────────────────────────────┘ │
└───────────────────────────────────────────────────────────────────────────────┘

Funcionalidades

Detalhes completos em docs/FEATURES.md.

Stack Tecnológica

Testes

make test          # Testes unitários
make lint          # Linter
make e2e-smoke     # Caminho rápido de exploit público de fumaça
make e2e-goat      # Cadeia completa de goat até a flag da nuvem

Trabalhos Relacionados

SmokedMeat é construído sobre pesquisas de:

• poutine – Scanner SAST de pipeline de build
• LOTP – Técnicas Living Off The Pipeline
• Gato-X – Enumeração de GitHub Actions
• Nord-Stream – Extração de segredos em CI/CD
• Sliver – Padrões de arquitetura Go C2
• Mythic – Design de fluxo de trabalho colaborativo

Licença

GNU Affero General Public License v3.0 – veja LICENSE para detalhes.

Construído para defensores que querem entender as técnicas dos atacantes.