Os desenvolvedores da plataforma de mensagens descentralizadas Matrix anunciaram o desligamento emergencial dos servidores Matrix.org e Riot.im (principal cliente do Matrix) devido ao hackeamento da infraestrutura do projeto. A primeira interrupção ocorreu ontem à noite, após a qual os servidores foram restaurados e os aplicativos reconstruídos a partir de fontes de referência. Mas há poucos minutos os servidores foram comprometidos pela segunda vez.
Os atacantes publicaram informações detalhadas na página principal do projeto. configurações do servidor e evidências de que eles possuíam um banco de dados contendo hashes de quase cinco milhões e meio de usuários do Matrix. Um hash de senha do líder do projeto Matrix foi divulgado publicamente como prova. O código modificado do site foi publicado no repositório GitHub dos atacantes (não no repositório oficial do Matrix). Detalhes sobre o segundo ataque ainda são desconhecidos.
Após o ataque inicial, a equipe da Matrix publicou um relatório indicando que a invasão foi realizada por meio de uma vulnerabilidade em um sistema de integração contínua Jenkins não corrigido. Depois de obter acesso ao servidor A partir do Jenkins, os atacantes interceptaram chaves SSH e obtiveram acesso a outros servidores da infraestrutura. O código-fonte e os pacotes não foram afetados pelo ataque, segundo relatos. O ataque também não afetou os servidores da Modular.im. No entanto, os atacantes obtiveram acesso ao sistema principal de gerenciamento de banco de dados, que contém mensagens não criptografadas, tokens de acesso e hashes de senhas.
Todos os usuários foram orientados a alterar suas senhas. Mas no processo de alteração de senhas no cliente principal da Riot, os usuários se depararam com o desaparecimento de arquivos com cópias de segurança das chaves para restauração de correspondência criptografada e a impossibilidade de acessar o histórico de mensagens anteriores.
Recorde-se que a plataforma de organização de comunicações descentralizadas Matrix apresenta-se como um projeto que utiliza padrões abertos e dá grande atenção à garantia da segurança e privacidade dos utilizadores. Matrix fornece criptografia ponta a ponta baseada no comprovado algoritmo Signal, suporta pesquisa e visualização ilimitada do histórico de correspondência, pode ser usado para transferir arquivos, enviar notificações, avaliar a presença online do desenvolvedor, organizar teleconferências, fazer chamadas de voz e vídeo. Ele também oferece suporte a recursos avançados, como notificações de digitação, confirmação de leitura, notificações push e pesquisa no servidor, sincronização de histórico e status do cliente, várias opções de identificador (e-mail, número de telefone, conta do Facebook, etc.).
Fonte: opennet.ru
