Tvrtka GitHub objavila je rezultate analize napada, tijekom kojeg su 12. travnja zlonamjernici dobili pristup oblačnim okruženjima na Amazon AWS usluzi, koja se koristi u infrastrukturi projekta NPM. Analiza incidenta pokazala je da su napadači dobili pristup sigurnosnim kopijama hosta skimdb.npmjs.com, uključujući sigurnosnu kopiju baze podataka sa podacima o otprilike 100 tisuća NPM korisnika iz 2015. godine, koji uključuju hashirane lozinke, imena i e-poštu.
Hashirane lozinke stvorene su korištenjem algoritama PBKDF2 ili SHA1 sa soli, koji su 2017. godine zamijenjeni otpornijim algoritmom bcrypt. Nakon otkrivanja incidenta, pogođene lozinke su resetirane, a korisnicima je poslana obavijest o potrebi postavljanja nove lozinke. S obzirom na to da je od 1. ožujka u NPM-u uključena obavezna dvostupanjska provjera autentičnosti s potvrdom putem e-pošte, opasnost od kompromitacije korisnika procjenjuje se kao neznatna.
Osim toga, u ruke napadača pali su svi manifestni datoteke i metapodaci privatnih paketa na dan travanj 2021. godine, CSV datoteke s aktualnim popisom svih imena i verzija privatnih paketa, kao i sadržaj svih privatnih paketa dvaju klijenata GitHub-a (imena nisu otkrivena). Što se tiče samog repozitorija, analiza tragova i verifikacija hashova paketa nisu otkrile izmjene koje su napadači unijeli u NPM pakete ili javne nove verzije paketa.
Napad je izvršen 12. travnja uz pomoć ukradenih OAuth tokena koje su generirali dva treća GitHub integratora — Heroku i Travis-CI. Iskoristivši te tokene, napadači su mogli izvući iz privatnih GitHub repozitorija ključ za pristup Amazon Web Services API-ju, koji se koristi u infrastrukturi projekta NPM. Dobiveni ključ omogućio je pristup podacima pohranjenim u AWS S3 usluzi.
Dodatno su otkriveni podaci o ranije identificiranim ozbiljnim problemima s privatnošću prilikom obrade korisničkih podataka. poslužiteljima NPM — u internim logovima su se u nekriptiranom obliku čuvale lozinke nekih NPM korisnika, kao i pristupni tokeni za NPM. Tokom integracije NPM-a sa sistemom za vođenje logova GitHub, programeri nisu osigurali uklanjanje poverljivih informacija iz logova koji su sadržavali zahteve službama NPM-a. Tvrdnja je da je nedostatak otklonjen, a logovi očišćeni pre napada na NPM. Pristup logovima koji sadrže otvorene lozinke imali su samo pojedini zaposleni u GitHub-u.
Izvor: opennet.ru
