GitHub-ന് നേരെയുണ്ടായ ആക്രമണം സ്വകാര്യ ശേഖരണങ്ങളുടെ ചോർച്ചയിലേക്കും NPM ഇൻഫ്രാസ്ട്രക്ചറിലേക്കുള്ള പ്രവേശനത്തിലേക്കും നയിച്ചു.

Heroku, Travis-CI സേവനങ്ങൾക്കായി ജനറേറ്റുചെയ്‌ത വിട്ടുവീഴ്‌ച ചെയ്‌ത OAuth ടോക്കണുകൾ ഉപയോഗിച്ച് സ്വകാര്യ റിപ്പോസിറ്ററികളിൽ നിന്ന് ഡാറ്റ ഡൗൺലോഡ് ചെയ്യാൻ ലക്ഷ്യമിട്ടുള്ള ആക്രമണത്തെക്കുറിച്ച് GitHub ഉപയോക്താക്കൾക്ക് മുന്നറിയിപ്പ് നൽകി. ആക്രമണസമയത്ത്, ചില ഓർഗനൈസേഷനുകളുടെ സ്വകാര്യ റിപ്പോസിറ്ററികളിൽ നിന്ന് ഡാറ്റ ചോർന്നതായി റിപ്പോർട്ടുണ്ട്, ഇത് Heroku PaaS പ്ലാറ്റ്‌ഫോമിനും ട്രാവിസ്-സിഐ തുടർച്ചയായ സംയോജന സംവിധാനത്തിനുമുള്ള ശേഖരങ്ങളിലേക്ക് പ്രവേശനം തുറന്നു. ഇരകളിൽ GitHub ഉം NPM പ്രോജക്ടും ഉൾപ്പെടുന്നു.

NPM പ്രോജക്റ്റ് ഇൻഫ്രാസ്ട്രക്ചറിൽ ഉപയോഗിക്കുന്ന ആമസോൺ വെബ് സേവനങ്ങളുടെ API ആക്സസ് ചെയ്യുന്നതിനുള്ള കീ സ്വകാര്യ GitHub ശേഖരണങ്ങളിൽ നിന്ന് ആക്രമണകാരികൾക്ക് വേർതിരിച്ചെടുക്കാൻ കഴിഞ്ഞു. തത്ഫലമായുണ്ടാകുന്ന കീ, AWS S3 സേവനത്തിൽ സംഭരിച്ചിരിക്കുന്ന NPM പാക്കേജുകളിലേക്ക് പ്രവേശനം അനുവദിച്ചു. NPM റിപ്പോസിറ്ററികളിലേക്ക് ആക്‌സസ് ലഭിച്ചിട്ടും, പാക്കേജുകൾ പരിഷ്‌ക്കരിക്കുകയോ ഉപയോക്തൃ അക്കൗണ്ടുകളുമായി ബന്ധപ്പെട്ട ഡാറ്റ നേടുകയോ ചെയ്തിട്ടില്ലെന്ന് GitHub വിശ്വസിക്കുന്നു. GitHub.com, NPM ഇൻഫ്രാസ്ട്രക്ചറുകൾ വെവ്വേറെയായതിനാൽ, പ്രശ്നമുള്ള ടോക്കണുകൾ തടയുന്നതിന് മുമ്പ് NPM-മായി ബന്ധമില്ലാത്ത ആന്തരിക GitHub ശേഖരണങ്ങളുടെ ഉള്ളടക്കങ്ങൾ ഡൗൺലോഡ് ചെയ്യാൻ ആക്രമണകാരികൾക്ക് സമയമില്ലായിരുന്നു എന്നതും ശ്രദ്ധിക്കേണ്ടതാണ്.

ആക്രമണകാരികൾ AWS API-യുടെ കീ ഉപയോഗിക്കാൻ ശ്രമിച്ചതിന് ശേഷം ഏപ്രിൽ 12 ന് ആക്രമണം കണ്ടെത്തി. പിന്നീട്, ഹെറോകു, ട്രാവിസ്-സിഐ ആപ്ലിക്കേഷൻ ടോക്കണുകളും ഉപയോഗിച്ച മറ്റ് ചില സംഘടനകളിലും സമാനമായ ആക്രമണങ്ങൾ രേഖപ്പെടുത്തി. ബാധിത സംഘടനകളുടെ പേര് വെളിപ്പെടുത്തിയിട്ടില്ല, എന്നാൽ ആക്രമണം ബാധിച്ച എല്ലാ ഉപയോക്താക്കൾക്കും വ്യക്തിഗത അറിയിപ്പുകൾ അയച്ചിട്ടുണ്ട്. Heroku, Travis-CI ആപ്ലിക്കേഷനുകളുടെ ഉപയോക്താക്കളെ സുരക്ഷ അവലോകനം ചെയ്യാനും അപാകതകളും അസാധാരണമായ പ്രവർത്തനങ്ങളും തിരിച്ചറിയാൻ ലോഗുകൾ ഓഡിറ്റ് ചെയ്യാനും പ്രോത്സാഹിപ്പിക്കുന്നു.

ടോക്കണുകൾ എങ്ങനെയാണ് ആക്രമണകാരികളുടെ കൈകളിൽ വീണതെന്ന് ഇതുവരെ വ്യക്തമല്ല, എന്നാൽ കമ്പനിയുടെ ഇൻഫ്രാസ്ട്രക്ചറിലെ വിട്ടുവീഴ്ചയുടെ ഫലമായി അവ ലഭിച്ചില്ലെന്ന് GitHub വിശ്വസിക്കുന്നു, കാരണം ബാഹ്യ സിസ്റ്റങ്ങളിൽ നിന്നുള്ള ആക്സസ് അംഗീകരിക്കുന്നതിനുള്ള ടോക്കണുകൾ GitHub വശത്ത് സംഭരിച്ചിട്ടില്ല. ഉപയോഗത്തിന് അനുയോജ്യമായ യഥാർത്ഥ ഫോർമാറ്റിൽ. ആക്രമണകാരിയുടെ പെരുമാറ്റത്തിന്റെ വിശകലനം കാണിക്കുന്നത്, സ്വകാര്യ ശേഖരണങ്ങളിലെ ഉള്ളടക്കങ്ങൾ ഡൗൺലോഡ് ചെയ്യുന്നതിന്റെ പ്രധാന ലക്ഷ്യം അവയിലെ ആക്സസ് കീകൾ പോലുള്ള രഹസ്യാത്മക ഡാറ്റയുടെ സാന്നിധ്യം വിശകലനം ചെയ്യുക എന്നതാണ്, ഇത് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ മറ്റ് ഘടകങ്ങളിൽ ആക്രമണം തുടരാൻ ഉപയോഗിക്കാം. .

അവലംബം: opennet.ru