Neue Details zum Hack der Infrastruktur der dezentralen Messaging-Plattform Matrix, über den heute Morgen berichtet wurde, wurden veröffentlicht. Der kritische Punkt, durch den die Angreifer eindrangen, war das kontinuierliche Integrationssystem Jenkins, das bereits am 13. März gehackt wurde. Anschließend wurde auf dem Jenkins-Server der von einem SSH-Agenten umgeleitete Zugang eines der Administratoren abgefangen, und am 4. April erhielten die Angreifer Zugang zu anderen Servern der Infrastruktur.
Bei dem zweiten Angriff wurde die Website matrix.org über eine Änderung der DNS-Einstellungen auf einen anderen Server (matrixnotorg.github.io) umgeleitet, wobei der bei dem ersten Angriff abgefangene API-Schlüssel des Content Delivery Network Systems Cloudflare verwendet wurde. Bei der Neuzusammensetzung des Inhalts Server nach dem ersten Hack haben die Administratoren von Matrix nur neue persönliche Schlüssel aktualisiert und das Update des Schlüssels für Cloudflare übersehen.
Während des zweiten Angriffs blieben die Server von Matrix unberührt; die Änderungen beschränkten sich lediglich auf den Austausch von Adressen in den DNS. Falls ein Benutzer sein Passwort bereits nach dem ersten Angriff geändert hat, ist es nicht notwendig, es erneut zu ändern. Wenn das Passwort jedoch noch nicht geändert wurde, sollte es so schnell wie möglich aktualisiert werden, da die Datenbank mit Hashes der Passwörter bestätigt wurde. Derzeit wird geplant, den Prozess des zwangsweisen Zurücksetzens des Passworts beim nächsten Login zu initiieren.
Neben der Passwortleckage wurde auch bestätigt, dass GPG-Schlüssel, die zur Erstellung digitaler Signaturen von Paketen im Debian-Repository Synapse und den Releases von Riot/Web verwendet werden, in die Hände der Angreifer gefallen sind. Die Schlüssel waren durch ein Passwort geschützt. Derzeit sind die Schlüssel bereits widerrufen. Die Schlüssel wurden am 4. April abgefangen, aber seitdem wurden keine Updates für Synapse veröffentlicht, es gab jedoch ein Release des Riot/Web-Clients 1.0.7 (eine vorläufige Überprüfung ergab, dass er nicht kompromittiert wurde).
Der Angreifer veröffentlichte eine Reihe von Berichten mit Details zum Angriff auf GitHub, diese wurden jedoch gelöscht. Dennoch sind die Berichte im Archiv erhalten geblieben.
Quelle: opennet.ru
