GitHub upozornil používateľov na útok zameraný na sťahovanie údajov z privátnych repozitárov pomocou kompromitovaných OAuth tokenov, generovaných pre služby Heroku a Travis-CI. Správy hlásia, že počas útoku došlo k úniku údajov z privátnych repozitárov niektorých organizácií, ktoré sprístupnili svoje repozitáre pre PaaS platformu Heroku a systém kontinuálnej integrácie Travis-CI. Medzi poškodenými je spoločnosť GitHub a projekt NPM.
Útočníci dokázali získať z privátnych repozitárov GitHub kľúč na prístup k API Amazon Web Services, používaný v infraštruktúre projektu NPM. Získaný kľúč umožňoval prístup k NPM balíčkom uloženým v službe AWS S3. GitHub považuje za nepravdepodobné, že by napriek získanému prístupu k repozitárom NPM došlo k modifikácii balíčkov alebo získaniu údajov súvisiacich s kontami používateľov. Uvádza sa tiež, že infraštruktúry GitHub.com a NPM sú oddelené, takže útočníci nemali čas na stiahnutie obsahu interných repozitárov GitHub, ktoré nie sú spojené s NPM, pred tým, než boli problematické tokeny zablokované.
Útok bol zaznamenaný 12. apríla, po tom, čo sa útočníci pokúsili vyradiť kľúč k API AWS. Neskôr boli zaznamenané podobné útoky aj na iné organizácie, v ktorých boli taktiež použité tokeny aplikácií Heroku a Travis-CI. Zasiahnuté organizácie nie sú menované, no všetkým používateľom, ktorých sa útok dotkol, boli zaslané osobné upozornenia. Používateľom aplikácií Heroku a Travis-CI odporúčame prehliadnuť si bezpečnostné a audítorské záznamy na identifikáciu anomálií a netypickej aktivity.
Ako sa tokeny dostali do rúk útočníkov zatiaľ nie je jasné, no GitHub považuje za nepravdepodobné, že by boli získané v dôsledku kompromitácie infraštruktúry spoločnosti, pretože tokeny na autorizáciu prístupu z externých systémov nie sú uložené na strane GitHub v pôvodnom formáte, vhodnom na použitie. Analýza správania útočníka naznačuje, že hlavný cieľ sťahovania obsahu privátnych repozitárov je analýza prítomnosti dôverných údajov, ako sú prístupové kľúče, ktoré by mohli byť použité na pokračovanie útoku na iné prvky infraštruktúry.
Zdroj: opennet.ru
