개인 리포지토리 유출 및 NPM 인프라 액세스로 이어지는 GitHub 공격

GitHub는 Heroku 및 Travis-CI 서비스용으로 생성된 손상된 OAuth 토큰을 사용하여 개인 저장소에서 데이터를 다운로드하는 것을 목표로 하는 공격에 대해 사용자에게 경고했습니다. 공격 중에 일부 조직의 개인 저장소에서 데이터가 유출되어 Heroku PaaS 플랫폼 및 Travis-CI 지속적 통합 시스템에 대한 저장소에 대한 액세스가 열린 것으로 알려졌습니다. 피해자 중에는 GitHub와 NPM 프로젝트가 있었습니다.

공격자는 NPM 프로젝트 인프라에 사용되는 Amazon Web Services API에 액세스하기 위한 키를 비공개 GitHub 리포지토리에서 추출할 수 있었습니다. 결과 키는 AWS S3 서비스에 저장된 NPM 패키지에 대한 액세스를 허용했습니다. GitHub는 NPM 리포지토리에 대한 액세스 권한을 얻었음에도 불구하고 패키지를 수정하지 않았거나 사용자 계정과 관련된 데이터를 얻지 않았다고 믿습니다. 또한 GitHub.com과 NPM 인프라가 분리되어 있기 때문에 공격자는 문제가 있는 토큰이 차단되기 전에 NPM과 연결되지 않은 내부 GitHub 저장소의 콘텐츠를 다운로드할 시간이 없었다는 점에도 주목됩니다.

공격은 공격자가 AWS API에 대한 키를 사용하려고 시도한 후 12월 XNUMX일에 감지되었습니다. 나중에 Heroku 및 Travis-CI 애플리케이션 토큰을 사용하는 다른 조직에서도 유사한 공격이 기록되었습니다. 영향을 받은 조직의 이름은 밝혀지지 않았지만 공격의 영향을 받은 모든 사용자에게 개별 알림이 전송되었습니다. Heroku 및 Travis-CI 애플리케이션 사용자는 보안 및 감사 로그를 검토하여 이상 및 비정상적인 활동을 식별하는 것이 좋습니다.

토큰이 어떻게 공격자의 손에 들어갔는지는 아직 확실하지 않지만 GitHub는 외부 시스템의 액세스를 승인하는 토큰이 GitHub 측에 저장되지 않기 때문에 회사 인프라가 손상되어 해당 토큰을 획득한 것이 아니라고 믿고 있습니다. 사용하기에 적합한 원본 형식으로. 공격자의 행동 분석에 따르면 개인 저장소의 콘텐츠를 다운로드하는 주요 목적은 인프라의 다른 요소에 대한 공격을 계속하는 데 사용할 수 있는 액세스 키와 같은 기밀 데이터의 존재를 분석하는 것일 가능성이 높습니다. .

출처 : opennet.ru