GitHub 'ਤੇ ਇੱਕ ਹਮਲਾ ਜਿਸ ਨਾਲ ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੇ ਲੀਕ ਹੋਣ ਅਤੇ NPM ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਤੱਕ ਪਹੁੰਚ ਹੋ ਗਈ।

GitHub ਨੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਇੱਕ ਹਮਲੇ ਦੀ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਹੈ ਜਿਸਦਾ ਉਦੇਸ਼ Heroku ਅਤੇ Travis-CI ਸੇਵਾਵਾਂ ਲਈ ਤਿਆਰ ਕੀਤੇ ਗਏ OAuth ਟੋਕਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੋਂ ਡਾਟਾ ਡਾਊਨਲੋਡ ਕਰਨਾ ਹੈ। ਇਹ ਦੱਸਿਆ ਗਿਆ ਹੈ ਕਿ ਹਮਲੇ ਦੇ ਦੌਰਾਨ, ਕੁਝ ਸੰਸਥਾਵਾਂ ਦੇ ਨਿੱਜੀ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੋਂ ਡੇਟਾ ਲੀਕ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨੇ Heroku PaaS ਪਲੇਟਫਾਰਮ ਅਤੇ Travis-CI ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀ ਲਈ ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਖੋਲ੍ਹ ਦਿੱਤੀ ਸੀ। ਪੀੜਤਾਂ ਵਿੱਚ GitHub ਅਤੇ NPM ਪ੍ਰੋਜੈਕਟ ਸ਼ਾਮਲ ਸਨ।

ਹਮਲਾਵਰ ਪ੍ਰਾਈਵੇਟ GitHub ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੋਂ ਐਮਾਜ਼ਾਨ ਵੈਬ ਸਰਵਿਸਿਜ਼ ਏਪੀਆਈ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਕੁੰਜੀ ਕੱਢਣ ਦੇ ਯੋਗ ਸਨ, ਜੋ ਕਿ NPM ਪ੍ਰੋਜੈਕਟ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। ਨਤੀਜਾ ਕੁੰਜੀ AWS S3 ਸੇਵਾ ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ NPM ਪੈਕੇਜਾਂ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। GitHub ਦਾ ਮੰਨਣਾ ਹੈ ਕਿ NPM ਰਿਪੋਜ਼ਟਰੀਆਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੇ ਬਾਵਜੂਦ, ਇਸ ਨੇ ਪੈਕੇਜਾਂ ਨੂੰ ਸੰਸ਼ੋਧਿਤ ਨਹੀਂ ਕੀਤਾ ਜਾਂ ਉਪਭੋਗਤਾ ਖਾਤਿਆਂ ਨਾਲ ਸੰਬੰਧਿਤ ਡੇਟਾ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕੀਤਾ। ਇਹ ਵੀ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿ ਕਿਉਂਕਿ GitHub.com ਅਤੇ NPM ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵੱਖਰੇ ਹਨ, ਹਮਲਾਵਰਾਂ ਕੋਲ ਸਮੱਸਿਆ ਵਾਲੇ ਟੋਕਨਾਂ ਨੂੰ ਬਲੌਕ ਕੀਤੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ NPM ਨਾਲ ਸੰਬੰਧਿਤ ਅੰਦਰੂਨੀ GitHub ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦਾ ਸਮਾਂ ਨਹੀਂ ਸੀ।

ਹਮਲਾਵਰਾਂ ਨੇ AWS API ਦੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਤੋਂ ਬਾਅਦ, 12 ਅਪ੍ਰੈਲ ਨੂੰ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ। ਬਾਅਦ ਵਿੱਚ, ਕੁਝ ਹੋਰ ਸੰਸਥਾਵਾਂ 'ਤੇ ਵੀ ਇਸੇ ਤਰ੍ਹਾਂ ਦੇ ਹਮਲੇ ਦਰਜ ਕੀਤੇ ਗਏ ਸਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚ Heroku ਅਤੇ Travis-CI ਐਪਲੀਕੇਸ਼ਨ ਟੋਕਨਾਂ ਦੀ ਵਰਤੋਂ ਵੀ ਕੀਤੀ ਗਈ ਸੀ। ਪ੍ਰਭਾਵਿਤ ਸੰਸਥਾਵਾਂ ਦਾ ਨਾਮ ਨਹੀਂ ਲਿਆ ਗਿਆ ਹੈ, ਪਰ ਹਮਲੇ ਤੋਂ ਪ੍ਰਭਾਵਿਤ ਸਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਵਿਅਕਤੀਗਤ ਸੂਚਨਾਵਾਂ ਭੇਜੀਆਂ ਗਈਆਂ ਹਨ। Heroku ਅਤੇ Travis-CI ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਅਸਮਾਨਤਾਵਾਂ ਅਤੇ ਅਸਾਧਾਰਨ ਗਤੀਵਿਧੀ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਸੁਰੱਖਿਆ ਅਤੇ ਆਡਿਟ ਲੌਗਾਂ ਦੀ ਸਮੀਖਿਆ ਕਰਨ ਲਈ ਉਤਸ਼ਾਹਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਇਹ ਅਜੇ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ ਕਿ ਟੋਕਨ ਹਮਲਾਵਰਾਂ ਦੇ ਹੱਥਾਂ ਵਿੱਚ ਕਿਵੇਂ ਆਏ, ਪਰ ਗਿਟਹਬ ਦਾ ਮੰਨਣਾ ਹੈ ਕਿ ਉਹ ਕੰਪਨੀ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਸਮਝੌਤੇ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕੀਤੇ ਗਏ ਸਨ, ਕਿਉਂਕਿ ਬਾਹਰੀ ਪ੍ਰਣਾਲੀਆਂ ਤੋਂ ਪਹੁੰਚ ਨੂੰ ਅਧਿਕਾਰਤ ਕਰਨ ਲਈ ਟੋਕਨਾਂ ਨੂੰ ਗਿੱਟਹਬ ਵਾਲੇ ਪਾਸੇ ਸਟੋਰ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਵਰਤੋਂ ਲਈ ਢੁਕਵੇਂ ਮੂਲ ਫਾਰਮੈਟ ਵਿੱਚ। ਹਮਲਾਵਰ ਦੇ ਵਿਵਹਾਰ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੇ ਦਿਖਾਇਆ ਕਿ ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਦਾ ਮੁੱਖ ਉਦੇਸ਼ ਉਹਨਾਂ ਵਿੱਚ ਗੁਪਤ ਡੇਟਾ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਐਕਸੈਸ ਕੁੰਜੀਆਂ, ਜੋ ਕਿ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਹੋਰ ਤੱਤਾਂ 'ਤੇ ਹਮਲੇ ਨੂੰ ਜਾਰੀ ਰੱਖਣ ਲਈ ਵਰਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ। .

ਸਰੋਤ: opennet.ru