Dropbox huet Informatioun iwwer en Zwëschefall verroden an deem Ugräifer Zougang zu 130 private Repositories op GitHub gehost hunn. Et gëtt behaapt datt déi kompromittéiert Repositories Gabel aus existéierende Open Source Bibliothéiken enthale fir Dropbox Bedierfnesser geännert hunn, e puer intern Prototypen, souwéi Utilities a Konfiguratiounsdateien déi vum Sécherheetsteam benotzt ginn. Den Attack huet keng Repositories mat Code fir Basisapplikatiounen a Schlësselinfrastrukturelementer beaflosst, déi separat entwéckelt goufen. D'Analyse huet gewisen datt den Attack net zu engem Leck vun der Benotzerbasis oder Kompromiss vun der Infrastruktur gefouert huet.
Den Zougang zu de Repositories gouf kritt als Resultat vun der Ofdreiwung vun den Umeldungsinformatiounen vun engem vun de Mataarbechter, deen Affer vu Phishing gouf. D'Ugräifer hunn dem Employé e Bréif ënner dem Deckmantel vun enger Warnung vum CircleCI kontinuéierlechen Integratiounssystem geschéckt mat enger Fuerderung fir d'Accord mat Ännerungen un de Regele fir de Service ze bestätegen. De Link an der E-Mail huet zu enger gefälschter Websäit gefouert, déi dem CircleCI Interface ausgesäit. D'Login Säit huet gefrot fir e Benotzernumm a Passwuert vu GitHub anzeginn, souwéi e Hardwareschlëssel ze benotzen fir en eemolegt Passwuert fir Zwee-Faktor Authentifikatioun ze generéieren.
Source: opennet.ru