O GitHub alertou os usuários sobre um ataque direcionado ao download de dados de repositórios privados usando tokens OAuth comprometidos, gerados para os serviços Heroku e Travis-CI. Foi relatado que durante o ataque ocorreram vazamentos de dados de repositórios privados de algumas organizações que abriram acesso aos repositórios para a plataforma PaaS Heroku e o sistema de integração contínua Travis-CI. Entre as vítimas está a empresa GitHub e o projeto NPM.
Os atacantes conseguiram extrair de repositórios privados do GitHub uma chave de acesso à API da Amazon Web Services, utilizada na infraestrutura do projeto NPM. A chave obtida permitia acessar pacotes NPM armazenados no serviço AWS S3. O GitHub acredita que, apesar do acesso aos repositórios NPM, não houve modificação de pacotes ou a obtenção de dados relacionados a contas de usuários. Também é destacado que, uma vez que as infraestruturas do GitHub.com e NPM estão separadas, os atacantes não conseguiram carregar conteúdo de repositórios internos do GitHub não relacionados ao NPM antes que os tokens problemáticos fossem bloqueados.
O ataque foi registrado em 12 de abril, após os atacantes tentarem usar a chave da API AWS. Posteriormente, ataques semelhantes foram registrados em algumas outras organizações, onde também foram utilizados tokens de aplicativos Heroku e Travis-CI. As organizações afetadas não foram nomeadas, mas todos os usuários impactados pelo ataque receberam notificações individuais correspondentes. Os usuários dos aplicativos Heroku e Travis-CI foram aconselhados a verificar os logs de segurança e auditoria para identificar anomalias e atividades incomuns.
Não está claro como os tokens chegaram às mãos dos atacantes, mas o GitHub acredita que eles não foram obtidos como resultado da comprometimento da infraestrutura da empresa, uma vez que os tokens para autorização de acesso com sistemas externos não são armazenados no GitHub em um formato utilizável. A análise do comportamento do atacante indicou que provavelmente o principal objetivo do download do conteúdo de repositórios privados é a análise da presença de dados confidenciais, como chaves de acesso, que poderiam ser usadas para continuar o ataque a outros elementos da infraestrutura.
Fonte: opennet.ru
