Utvecklarna av det öppna innehÄllshanteringssystemet Plone, skrivet i Python och JavaScript/NodeJS, har meddelat om en incident dÀr skadlig kod har tillförts projektets git-repository pÄ GitHub. Initialt upptÀcktes tre förÀndringar den 7 januari (1, 2, 3) som tillförde skadlig kod till projektets JavaScript-filer (1, 2, 3). En analys av incidenten visade att integreringen av den skadliga koden skedde genom att en av utvecklarens konto hade blivit komprometterat, vars Ätkomsttoken hade fÄngats av angripare efter att skadlig programvara körts pÄ hans system.
Den 14 januari blev det komprometterade kontot blockerat och utvecklarna av projektet rekommenderades att analysera commitarna frÄn den 1 till 14 januari. Den 27 januari upptÀcktes att de observerade commitarna inte var det enda problemet och attacken hade pÄverkat fem av projektets repositories (plone/volto, plone/mockup, plone/plone.app.mosaic, plone/critical-css-cli, plone/plonetheme.barceloneta), dÀr skadlig kod hade integrerats osynligt. I fallet med repositoryt plone.app.mosaic lyckades angriparna ersÀtta master-grenen. Attacken genomfördes tvÄ mÄnader efter att utvecklarens Ätkomsttoken hade fÄngats.
För att integrera förĂ€ndringar istĂ€llet för vanliga commits anvĂ€nde angriparna operationen "force push" (git push med alternativet "âforce"), vilket gör det möjligt att tvinga ersĂ€tta en gren i det externa repositoryt med sitt eget innehĂ„ll och dĂ€rmed skriva om förĂ€ndringshistoriken (efter ersĂ€ttningen visas historiken frĂ„n den gren som laddades upp av angriparen). För att förhindra att sĂ„dana grenbyten sker i framtiden har utvecklarna av Plone aktiverat regler pĂ„ GitHub som blockerar "force push"-operationer för huvudgrenar och taggar.
I ett repository av plone.app.mosaic installerade angriparna en skadlig commit i master-grenen för att försvĂ„ra identifieringen av kompromiss, med ett falskt datum â 18 december, i tron att sökomrĂ„det för skadlig kod skulle koncentreras pĂ„ förĂ€ndringar som lades till efter deras första aktivitet i repositoryt. Den skadliga förĂ€ndringen presenterades i den installerade commit som början pĂ„ utvecklingen av en ny testversion, men förutom att versionsnumret i metadata Ă€ndrades (frĂ„n 4.0.0a1 till 4.0.0a2.dev0) lades skadlig kod till i den Javascript-fil som anropades under byggprocessen, prettier.config.js. För att dölja Ă€ndringen vid granskning i terminalen lades koden till pĂ„ en rad med en legitim operation och flyttades bort frĂ„n den synliga delen med hjĂ€lp av mellanslag. I GitHub-grĂ€nssnittet visades den ocksĂ„ inte som standard och krĂ€vde att knappen 'Load Diff' skulle tryckas.
Attacken riktades i större utstrÀckning mot projektets utvecklare Àn mot anvÀndarna. De skadliga förÀndringarna kom inte med i utgÄvan. Den skadliga koden aktiverades vid byggprocessen, laddade upp exploit för att höja privilegier, stÀllde in automatisk körning genom att kalla sina processer frÄn startskripten och möjliggjorde fjÀrrstyrning. servern. Dessutom genomförde den installerade skadliga komponenten sökningar och skickade konfidentiell information som Ätkomsttoken, webblÀsarprofiler och nycklar till kryptovaluta-plÄnböcker.
KĂ€lla: opennet.ru
