A GitHub figyelmeztette a felhasználókat egy támadásról, amely a privát tárolók adatainak letöltésére irányult, komprimitált OAuth tokenek használatával, amelyeket a Heroku és a Travis-CI szolgáltatások számára generáltak. Hírek szerint a támadás során adatszivárgás történt néhány szervezet privát tárolóiból, amelyek hozzáférést adtak a Heroku Platform-as-a-Service (PaaS) platformnak és a Travis-CI folyamatos integrációs rendszernek. Az érintett szervezetek között van a GitHub és az NPM projekt.
A támadók képesek voltak kinyerni a GitHub privát tárolóiból egy az Amazon Web Services API-hoz való hozzáférést biztosító kulcsot, amelyet az NPM projekt infrastruktúrája használt. Az így megszerzett kulcs hozzáférést biztosított az AWS S3 szolgáltatásban tárolt NPM-csomagokhoz. A GitHub úgy véli, hogy a NPM tárolóihoz való hozzáférés ellenére nem történt csomagok módosítása vagy felhasználói fiókokkal kapcsolatos adatok megszerzése. Továbbá megjegyzik, hogy mivel a GitHub.com és az NPM infrastruktúrája különválik, a támadók nem tudták letölteni a GitHub belső tárolóinak tartalmát, amelyek nem kapcsolódnak az NPM-hez, mielőtt a problémás tokeneket blokkolták.
A támadást április 12-én észlelték, miután a támadók megpróbálták használni az AWS API kulcsát. Később hasonló támadásokat észleltek más szervezetek ellen is, ahol szintén Heroku és Travis-CI alkalmazás tokeneket használtak. Az érintett szervezetek neveit nem hozták nyilvánosságra, de minden felhasználónak, akit érintett a támadás, megfelelı egyedi értesítéseket küldtek. A Heroku és a Travis-CI alkalmazások felhasználóit arra kérik, hogy vizsgálják meg a biztonsági és auditnaplókat anomáliák és szokatlan tevékenységek észlelésére.
Nem világos, hogy a tokenek hogyan kerültek a támadók kezébe, de a GitHub úgy gondolja, hogy nem a cég infrastruktúrájának kompromittálása révén jutottak hozzá, mivel a külső rendszerekhez való hozzáféréshez szükséges tokeneket a GitHub nem tárolja az eredeti formátumban, amely felhasználásra alkalmas lenne. A támadó viselkedésének elemzése azt mutatja, hogy az alapvető célja a privát tárolók tartalmának letöltése valószínűleg érzékeny adatok, például hozzáférési kulcsok elemzése volt, amelyek felhasználhatók a támadás folytatására más infrastruktúra elemei ellen.
Forrás: opennet.ru
