A GitHub közzétette a támadás elemzésének eredményeit, amely során április 12-én a támadók hozzáfértek az Amazon AWS felhőszolgáltatásaiban használt környezetekhez, amelyek az NPM projekt infrastruktúrájában szerepeltek. Az incidens elemzése azt mutatta, hogy a támadók hozzáfértek a skimdb.npmjs.com hoszt biztonsági másolataihoz, beleértve körülbelül 100 ezer NPM-felhasználó 2015-ös jelszóhash-adatait is, amelyek tartalmazták a jelszavak hash-ét, neveket és email címeket.
A jelszóhash-ek PBKDF2 vagy SHA1 algoritmusokkal, sóval készültek, amelyeket 2017-ben erősebb bcrypt-re cseréltek. Az incidens után a kompromittált jelszavakat visszaállították, és a felhasználók értesítést kaptak az új jelszó beállításáról. Mivel március 1-től az NPM-en kötelező kéttényezős hitelesítés van e-mail megerősítéssel, a felhasználók kompromittálásának veszélyét jelentéktelennek értékelik.
Ezen kívül a támadók birtokába kerültek az összes manifest fájl és a privát csomagok metadatái 2021 áprilisi állapot szerint, CSV-fájlok a privát csomagok összes aktuális nevével és verziójával, valamint két GitHub ügyfél összes privát csomagja (nevek nem kerülnek nyilvánosságra). A tárolt repozitórium elemzése és a csomagok hash-einek ellenőrzése nem mutatott ki módosítást a NPM-csomagokban és hamis új csomagverziók publikálását.
A támadás április 12-én, ellopott OAuth tokenek felhasználásával történt, amelyeket két harmadik fél GitHub-integrátor — Heroku és Travis-CI — számára generáltak. A tokenek kihasználásával a támadók hozzáfértek a GitHub privát repozitóriumából az Amazon Web Services API kulcsához, amelyet az NPM projekt infrastruktúrájában használtak. A megszerzett kulcs lehetővé tette az AWS S3 szolgáltatásában tárolt adatokhoz való hozzáférést.
További információk kerültek nyilvánosságra a felhasználói adatok kezelésével kapcsolatos korábban azonosított súlyos titoktartási problémákról. szervereken NPM — a belső naplókban nyíltan tárolva voltak több felhasználó jelszavai és a NPM-hez való hozzáférési tokenek. Az NPM GitHub naplózási rendszerrel való integrálása során a fejlesztők nem biztosították a bizalmas információk kiszűrését a NPM szolgáltatásaihoz intézett kérdésekbe. Állítják, hogy a hiányosságot kijavították, és a naplókat még az NPM-en végrehajtott támadás előtt megtisztították. A naplókhoz, amelyek nyílt jelszavakat tartalmaztak, csak néhány GitHub alkalmazott férhetett hozzá.
Forrás: opennet.ru
