Sono emerse nuove informazioni sull'attacco all'infrastruttura della piattaforma di messaggistica decentralizzata Matrix, di cui si parlava questa mattina. Il punto vulnerabile attraverso il quale gli aggressori sono entrati era il sistema di integrazione continua Jenkins, compromesso già il 13 marzo. Successivamente, sul server di Jenkins è stata intercettata una sessione SSH che portava all'accesso di uno degli amministratori e il 4 aprile gli aggressori hanno avuto accesso ad altri server dell'infrastruttura.
Nel secondo attacco, il sito matrix.org è stato reindirizzato a un altro server (matrixnotorg.github.io) tramite la modifica dei parametri DNS, utilizzando una chiave API della rete di distribuzione dei contenuti Cloudflare, intercettata durante il primo attacco. Durante il ricompilamento del contenuto server dopo il primo attacco, gli amministratori di Matrix hanno aggiornato solo le nuove chiavi personali, dimenticando di aggiornare la chiave di Cloudflare.
Durante il secondo attacco, i server di Matrix sono rimasti intatti, con modifiche limitate solo alla sostituzione degli indirizzi nei DNS. Se un utente aveva già cambiato la password dopo il primo attacco, non è necessario cambiarla di nuovo. Ma se la password non è stata ancora modificata, deve essere aggiornata il prima possibile, poiché è confermata la fuga del database con gli hash delle password. Attualmente si prevede di avviare un processo di reset forzato della password al prossimo accesso.
Oltre alla fuga delle password, è stata confermata anche la compromissione delle chiavi GPG utilizzate per la formazione delle firme digitali nei pacchetti del repository Debian di Synapse e nelle versioni di Riot/Web. Le chiavi erano protette da password. Attualmente, le chiavi sono già state revocate. Sono state intercettate il 4 aprile, ma da allora non sono state rilasciate aggiornamenti per Synapse, anche se è stata rilasciata la versione 1.0.7 del client Riot/Web (il controllo preliminare ha mostrato che non era stato compromesso).
L'aggressore ha pubblicato una serie di rapporti con i dettagli dell'attacco su GitHub, ma sono stati rimossi. Tuttavia, gli report sono rimasti archiviati.
Fonte: opennet.ru
