GitHub har advaret brugerne om et angreb målrettet mod at downloade data fra private repositories ved hjælp af kompromitterede OAuth-tokens, der blev genereret for tjenesterne Heroku og Travis-CI. Det rapporteres, at der under angrebet skete en lækage af data fra private repositories tilhørende nogle organisationer, der havde åbnet adgang til deres repositories for PaaS-platformen Heroku og Travis-CI's kontinuerlige integrationssystem. Blandt de berørte var GitHub og projektet NPM.
Angriberne formåede at udtrække et API-adgangsnøgle fra GitHubs private repositories, som blev brugt i infrastrukturen til NPM-projektet. Den opnåede nøgle gav adgang til NPM-pakker, der er gemt i AWS S3-tjenesten. GitHub mener, at selvom der blev opnået adgang til NPM-repositories, var der ikke sket ændringer af pakkerne eller adgang til data relateret til brugerkonti. Det bemærkes også, at da infrastrukturen for GitHub.com og NPM er separeret, nåede angriberne ikke at downloade indholdet fra interne GitHub-repositories, der ikke er relateret til NPM, inden de problematiske tokens blev blokeret.
Angrebet blev registreret den 12. april, efter at angriberne forsøgte at bruge en AWS API-nøgle. Senere blev lignende angreb registreret mod nogle andre organisationer, hvor der også blev brugt Heroku- og Travis-CI-applicering tokens. De berørte organisationer nævnes ikke, men alle brugere, der blev ramt af angrebet, har modtaget individuelle meddelelser om det. Brugere af Heroku- og Travis-CI-apps anbefales at gennemgå sikkerheds- og auditlogfiler for at identificere unormal aktivitet.
Hvordan tokens er endt i hænderne på angriberne er endnu ikke klart, men GitHub mener, at de blev opnået uden at infrastruktur hos virksomheden blev kompromitteret, da tokens til autorisation af adgang fra eksterne systemer ikke opbevares i råformat på GitHub. En analyse af angriberens adfærd viste, at den sandsynlige hovedmotivation for at downloade indholdet af private repositories er at analysere, om der er følsomme data i dem, såsom adgangsnøgler, som kunne bruges til at fortsætte angrebet på andre elementer af infrastrukturen.
Kilde: opennet.ru
