GitHub varoval uživatele před útokem zaměřeným na stahování dat ze soukromých repozitářů pomocí kompromitovaných tokenů OAuth, které byly vytvořené pro služby Heroku a Travis-CI. Podle zpráv došlo během útoku k úniku dat ze soukromých repozitářů některých organizací, které těchto repozitářů zpřístupnily pro PaaS platformu Heroku a systém kontinuální integrace Travis-CI. Mezi postiženými byla společnost GitHub a projekt NPM.
Útočníci se podařilo z privátních repozitářů GitHub získat klíč pro přístup k API Amazon Web Services, který byl používán v infrastruktuře projektu NPM. Získaný klíč umožňoval přístup k NPM balíčkům uloženým v službě AWS S3. GitHub se domnívá, že i přes získaný přístup k repozitářům NPM nedošlo k modifikaci balíčků ani k získání dat souvisejících s uživatelskými účty. Také bylo poznamenáno, že jelikož jsou infrastruktury GitHub.com a NPM oddělené, útočníci nestihli stáhnout obsah interních repozitářů GitHub, které se netýkaly NPM, než byly problémové tokeny zablokovány.
Útok byl zaznamenán 12. dubna, poté co se útočníci pokusili použít klíč k API AWS. Později byly zaznamenány podobné útoky i na některé další organizace, které také používaly tokeny aplikací Heroku a Travis-CI. Postižené organizace nejsou pojmenovány, ale všem uživatelům, kterých se útok dotkl, byly zaslány příslušné individuální upozornění. Uživatelům aplikací Heroku a Travis-CI se doporučuje prozkoumat bezpečnostní a auditní logy pro zjištění anomálií a netypické aktivity.
Jakým způsobem se útočníkům podařilo získat tokeny, zatím není jasné, ale GitHub tvrdí, že byly získány bez kompromitace firemní infrastruktury, protože tokeny pro autorizaci přístupu z externích systémů nejsou na GitHubu uloženy v běžném formátu, který by bylo možné použít. Analýza chování útočníka ukázala, že pravděpodobně hlavním cílem stahování obsahu soukromých repozitářů je analýza přítomnosti citlivých dat, jako jsou přístupové klíče, které by mohly být použity k pokračování v útoku na další prvky infrastruktury.
Zdroj: opennet.ru
