Sono emersi nuovi dettagli sull'attacco all'infrastruttura della piattaforma di messaggistica decentralizzata Matrix, di cui si è parlato questa mattina. Il punto vulnerabile attraverso cui sono penetrati gli aggressori è stato il sistema di integrazione continua Jenkins, che è stato violato già il 13 marzo. Successivamente, sul server Jenkins è stato intercettato l'accesso SSH ridirezionato di uno degli amministratori e il 4 aprile gli aggressori hanno ottenuto l'accesso a altri server dell'infrastruttura.
Durante il secondo attacco, il sito matrix.org è stato reindirizzato a un altro server (matrixnotorg.github.io) attraverso la modifica dei parametri DNS, utilizzando la chiave API del sistema di distribuzione dei contenuti Cloudflare, intercettata durante il primo attacco. Durante la ricostruzione del contenuto server dopo il primo attacco, gli amministratori di Matrix hanno aggiornato solo le nuove chiavi personali e hanno trascurato l'aggiornamento della chiave per Cloudflare.
Durante il secondo attacco, i server Matrix sono rimasti intatti e le modifiche si sono limitate a sostituire gli indirizzi DNS. Se un utente ha già cambiato la password dopo il primo attacco, non è necessario cambiarla di nuovo. Tuttavia, se la password non è ancora stata aggiornata, è fondamentale farlo il prima possibile, poiché la fuga del database contenente gli hash delle password è stata confermata. Attualmente si prevede di avviare il processo di reset forzato della password al prossimo accesso.
Oltre alla fuga delle password, è stata anche confermata la compromissione delle chiavi GPG utilizzate per generare le firme digitali dei pacchetti nel repository Debian di Synapse e nei rilascio di Riot/Web. Le chiavi erano protette da password. Attualmente le chiavi sono già state revocate. Le chiavi sono state intercettate il 4 aprile, ma da allora non sono stati rilasciati aggiornamenti per Synapse, anche se è stata rilasciata la versione 1.0.7 del client Riot/Web (le verifiche preliminari hanno mostrato che non è stata compromessa).
L'attaccante ha pubblicato una serie di rapporti con i dettagli dell'attacco su GitHub, ma sono stati rimossi. Tuttavia, i rapporti sono stati conservati in archivio.
Fonte: opennet.ru
