Rünnak GitHubile, mis tõi kaasa privaatsete repode lekkimise ja juurdepääsu NPM infrastruktuurile

GitHub hoiatab kasutajaid rünnaku kohta, mille sihiks on andmete allalaadimine privaatsetest hoidlatest, kasutades kompromiteeritud OAuth-tokene, mis on genereeritud Heroku ja Travis-CI teenuste jaoks. Teatakse, et rünnaku käigus lekis teavet mõne organisatsiooni privaatsetest hoidlatest, mis jagas ligipääsu hoidlatele PaaS-platvormile Heroku ja pideva integratsiooni süsteemile Travis-CI. Kannatanute seas on nii GitHub kui ka NPM projekt.

Ründajad suutsid privaatsetest GitHubi hoidlatest välja tõmmata Amazon Web Services API ligipääsuvõtme, mis oli kasutusel NPM projekti infrastruktuuris. Saadud võti võimaldas pääseda ligi NPM-pakettidele, mis asuvad AWS S3 teenuses. GitHub arvab, et vaatamata sellele, et pääs privaatsetele NPM hoidlatele oli saadud, ei toimunud pakettide modifitseerimist ega kasutajakontode seonduvate andmete hankimist. Samuti märgitakse, et kuna GitHub.com ja NPM infrastruktuurid on eraldi, ei jõudnud ründajad laadida alla GitHubi sisemiste hoidlate sisu, mis ei seotud NPM-iga, enne kui probleemsed tokenid blokeeriti.

Rünnak fikseeriti 12. aprillil, pärast seda, kui ründajad püüdsid kasutada AWS API võtit. Hiljem fikseeriti sarnaseid rünnakuid ka mõnedele teistele organisatsioonidele, kus samuti kasutati Heroku ja Travis-CI rakenduste tokene. Kannatanud organisatsioone ei nimetata, kuid kõigile rünnakut puudutanud kasutajatele saadeti vastavad individuaalsed teavitused. Heroku ja Travis-CI rakenduste kasutajaid soovitatakse uurida turbe- ja auditi logisid, et tuvastada anomaaliaid ja ebatüüpilist tegevust.

Kuidas toked ründajate kätte said, pole veel selge, kuid GitHub usub, et need ei ole saadud ettevõtte infrastruktuuri kompromiteerimise kaudu, kuna väliste süsteemide tõttu tuleb autoriseerimise tokene GitHubi poole algsel kujul. Ründaja käitumise analüüs näitas, et tõenäoliselt on privaatsete hoidlate sisu allalaadimise peamine eesmärk analüüsida, kas seal on konfidentsiaalset teavet, nagu ligipääsuvõtmed, mida võiks kasutada rünnaku jätkamiseks teiste infrastruktuuri elementide vastu.

Allikas: opennet.ru