Los desarrolladores de la plataforma de mensajería descentralizada Matrix han anunciado el cierre de emergencia de los servidores Matrix.org y Riot.im (el cliente principal de Matrix) debido a un incumplimiento de la infraestructura del proyecto. El primer cierre ocurrió ayer por la noche, tras lo cual la operación de los servidores fue restaurada y las aplicaciones reconstruidas a partir de los códigos fuente de referencia. Sin embargo, hace unos minutos, los servidores fueron comprometidos por segunda vez.
Los atacantes han publicado en la página principal del proyecto información detallada sobre del servidor y datos sobre la posesión de una base de datos con hash de casi cinco millones y medio de usuarios de Matrix. Como prueba, se ha publicado un hash de la contraseña del líder del proyecto Matrix. El código modificado del sitio se encuentra en el repositorio de los atacantes en GitHub (no en el repositorio oficial de matrix). No hay detalles sobre el segundo hackeo por el momento.
Después del primer hackeo, el equipo de Matrix publicó un informe en el que se indicó que la intrusión se había llevado a cabo a través de una vulnerabilidad en un sistema de integración continua Jenkins no actualizado. Tras obtener acceso a servidor Jenkins, los atacantes interceptaron las claves SSH y lograron acceder a otros servidores de la infraestructura. Se afirmó que el código fuente y los paquetes no fueron afectados por el ataque. El ataque tampoco afectó a los servidores de Modular.im. Sin embargo, los atacantes obtuvieron acceso a la base de datos principal, que incluye mensajes no cifrados, tokens de acceso y hashes de contraseñas.
Se les ha ordenado a todos los usuarios que cambien sus contraseñas. Sin embargo, durante el proceso de cambio de contraseñas en el cliente principal Riot, los usuarios se encontraron con la desaparición de archivos de copias de seguridad de claves para recuperar la conversación cifrada y la imposibilidad de acceder al historial de mensajes antiguos.
Recordemos que la plataforma para la organización de comunicaciones descentralizadas Matrix se presenta como un proyecto que utiliza estándares abiertos y presta gran atención a la seguridad y privacidad de los usuarios. Matrix proporciona cifrado de extremo a extremo basado en el algoritmo comprobado Signal, permite la búsqueda y visualización ilimitada del historial de conversaciones, y se puede utilizar para la transferencia de archivos, el envío de notificaciones, la evaluación de la presencia de los desarrolladores en línea, la organización de teleconferencias y la realización de llamadas de voz y videollamadas. También se admiten funciones avanzadas como notificaciones de escritura, confirmación de lectura, notificaciones push y búsqueda del lado del servidor, sincronización del historial y estados de los clientes, y varias opciones de identificación (correo electrónico, número de teléfono, cuenta de Facebook, etc.).
Fuente: opennet.ru
