GitHub heeft de resultaten gepubliceerd van de analyse van de aanval, waarbij op 12 april aanvallers toegang kregen tot cloudomgevingen in de Amazon AWS-service die werd gebruikt in de infrastructuur van het NPM-project. De analyse van het incident toonde aan dat de aanvallers toegang kregen tot de back-ups van de host skimdb.npmjs.com, inclusief een back-up van de database met de inloggegevens van ongeveer 100.000 NPM-gebruikers uit 2015, inclusief hashing van wachtwoorden, namen en e-mailadressen.
De wachtwoord-hashes zijn gemaakt met gebruik van de algoritmen PBKDF2 of SHA1 met zout, die in 2017 zijn vervangen door de meer veilige bcrypt. Na het ontdekken van het incident zijn de getroffen wachtwoorden gereset en hebben gebruikers een melding ontvangen om een nieuw wachtwoord in te stellen. Aangezien er sinds 1 maart in NPM verplichting is voor tweefactorauthenticatie met bevestiging via e-mail, wordt de kans op compromittering van gebruikers als klein ingeschat.
Bovendien zijn alle manifestbestanden en metadata van privé-pakketten tot april 2021 in handen gevallen van de aanvallers, CSV-bestanden met de actuele lijst van alle namen en versies van privé-pakketten, evenals de inhoud van alle privé-pakketten van twee GitHub-klanten (namen worden niet vrijgegeven). Wat betreft de repository zelf, toonde de analyse van sporen en de verificatie van hash van pakketten geen wijzigingen door de aanvallers in NPM-pakketten of de publicatie van valse nieuwe versies van pakketten.
De aanval vond op 12 april plaats met gebruik van gestolen OAuth-tokens die waren gegenereerd voor twee externe GitHub-integrators — Heroku en Travis-CI. Door gebruik te maken van de tokens konden de aanvallers een sleutel voor de toegang tot de Amazon Web Services API, gebruikt in de infrastructuur van het NPM-project, uit privé-repositories van GitHub extraheren. De verkregen sleutel gaf toegang tot gegevens die worden opgeslagen in de AWS S3-service.
Daarnaast zijn informatie over eerder ontdekte ernstige problemen met de vertrouwelijkheid bij het verwerken van gebruikersgegevens vrijgegeven. servers NPM — in de interne logs werden enkele gebruikerswachtwoorden van NPM en toegangstokens voor NPM in platte tekst opgeslagen. Tijdens de integratie van NPM met het logboekbeheersysteem van GitHub hebben de ontwikkelaars geen vertrouwelijke informatie verwijderd uit de logverzoeken naar NPM-services. Er wordt beweerd dat de tekortkoming is verholpen en de logs zijn opgeschoond voordat de aanval op NPM plaatsvond. Toegang tot de logs, die de open wachtwoorden bevatten, was alleen beschikbaar voor bepaalde medewerkers van GitHub.
Bron: opennet.ru
