GitHub heeft gebruikers gewaarschuwd voor een aanval gericht op het extraheren van gegevens uit privé-repositories met behulp van gecompromitteerde OAuth-tokens, die zijn gegenereerd voor de services Heroku en Travis-CI. Er wordt gerapporteerd dat tijdens de aanval gegevens zijn gelekt uit privé-repositories van enkele organisaties die toegang tot hun repositories hebben verleend aan het PaaS-platform Heroku en het continue integratiesysteem Travis-CI. Onder de getroffen partijen bevonden zich GitHub en het NPM-project.
De aanvallers konden uit de privé-repositories van GitHub een toegangssleutel tot de API van Amazon Web Services extraheren, die werd gebruikt in de infrastructuur van het NPM-project. De verkregen sleutel maakte toegang mogelijk tot NPM-pakketten die zijn opgeslagen op de AWS S3-service. GitHub is van mening dat hoewel toegang is verkregen tot de NPM-repositories, er geen wijziging van pakketten of toegang tot gegevens met betrekking tot gebruikersaccounts heeft plaatsgevonden. Ook wordt opgemerkt dat omdat de infrastructuren van GitHub.com en NPM gescheiden zijn, de aanvallers er niet in zijn geslaagd om de inhoud van interne GitHub-repositories, die niet met NPM zijn verbonden, te extraheren voordat de problematische tokens werden geblokkeerd.
De aanval werd op 12 april waargenomen, nadat de aanvallers hadden geprobeerd de AWS API-sleutel te gebruiken. Later werden vergelijkbare aanvallen geregistreerd op enkele andere organisaties, waarbij ook gebruik werd gemaakt van de toepassingstokens van Heroku en Travis-CI. De getroffen organisaties worden niet bij name genoemd, maar alle gebruikers die door de aanval zijn getroffen, hebben individuele meldingen ontvangen. Gebruikers van de applicaties van Heroku en Travis-CI wordt aangeraden om de veiligheids- en auditlogs te bekijken om anomalieën en ongebruikelijke activiteiten te identificeren.
Hoe de tokens in handen van de aanvallers zijn gekomen, is nog onduidelijk, maar GitHub is van mening dat ze niet zijn verkregen door een compromis van de infrastructuur van het bedrijf, aangezien de tokens voor autorisatie van externe systemen niet in het originele formaat op GitHub worden opgeslagen, dat bruikbaar is. Analyse van het gedrag van de aanvallers heeft aangetoond dat de voornaamste bedoeling van het extraheren van de inhoud van privé-repositories waarschijnlijk is om vertrouwelijke gegevens te analyseren, zoals toegangssleutels, die zouden kunnen worden gebruikt om de aanval op andere elementen van de infrastructuur voort te zetten.
Bron: opennet.ru
