Ründajatel õnnestus lisada märkamatut kahjulikku koodi Plone'i hoidlasse.

Plone'i avatud sisuhalduse süsteemi, mis on kirjutatud Pythonis ja JavaScripti/NodeJS-s, arendajad teatasid juhtumist, mille käigus lisati projekti git-repositooriumisse GitHubis pahatahtlik kood. Esialgu tuvastati repositooriumis kolm muutust, mis ilmusid 7. jaanuaril, lisades pahatahtlikku koodi projekti JavaScripti failidesse. Juhtumi analüüs näitas, et pahatahtliku koodi integreerimine toimus ühe arendaja konto kompromiteerimise tõttu, kelle juurdepääsu token oli kurjategijate poolt tabatud tema süsteemis levitatud pahavaraga.

14. jaanuaril blokeeriti kompromiteeritud konto ning projekti arendajatele soovitati analüüsida commit'e ajavahemikus 1. kuni 14. jaanuar. 27. jaanuaril avastati, et märgitud commit'id ei olnud ainsad ning rünnak oli tabanud viit projekti repositooriumit (plone/volto, plone/mockup, plone/plone.app.mosaic, plone/critical-css-cli, plone/plonetheme.barceloneta), millele oli varjatult integreeritud pahatahtlik kood. Repositooriumi plone.app.mosaic puhul õnnestus ründajatel asendada master-haru. Rünnak toimus kaks kuud pärast arendaja juurdepääsu tokeni haaramist.

Muutuste integreerimiseks kasutasid ründajad tavaliste commit'ide asemel operatsiooni „force push“ (git push koos parameetriga „—force“), mis võimaldab sundida haru välises repositooriumis oma sisuga üle kirjutama ja seega muuta muudatuste ajalugu (pärast asendamist kuvatakse ründaja üles laaditud haru ajalugu). Tulevikus sarnaste harude asendamise vältimiseks on Plone'i arendajad lisanud GitHubi reeglid, mis blokeerivad „force push“ operatsioonid peamistele harudele ja siltidele.

Plone.app.mosaic'i repozitooriumis, et raskendada kompromiteerimise tuvastamist, sisestasid ründajad master-haru halva kommi, millel oli vale kuupäev - 18. detsember, pidades silmas, et pahatahtliku koodi otsimise ala keskendub muudatustele, mis on lisatud pärast nende esimest aktiivsust repozitooriumis. Pahatahtlik muudatus esitati sisestatud kommides uut testversiooni arendamise algusena, kuid peale versiooni numbri muutmise metades (4.0.0a1-lt 4.0.0a2.dev0-le) oli muutmisse lisatud pahatahtlikud koodid javascript-faili prettier.config.js, mis kutsuti esile kogumise etapis. Et muuta terminalis muudatuse vaatamine raskemaks, lisati kood ühe reaga koos seadusliku operatsiooniga ja nihutati nähtavast alast välja kasutades tühikuid. GitHubi liideses ei olnud see kood samuti vaikimisi nähtav ja nõudis „Load Diff“ nupu vajutamist.

Rünnak keskendus rohkem projekti arendajatele kui kasutajatele. Pahatahtlikud muudatused ei sattunud väljalaskesse. Pahatahtlikud koodid aktiveerusid kogumisel, laadides sisse õiguste suurendamise eksploidid, seades automaatse käivitamise, kutsudes oma protsesse käivituskriptide kaudu ja võimaldades kaugjuhitavust. serveriltPeale selle installiti pahatahtlik komponent, mis otsis ja saatis konfidentsiaalseid andmeid, nagu juurdepääsutooted, brauseri profiilid ja krüptovaluuta rahakoti võtmed.

Allikas: opennet.ru