GitHub корбаронро аз ҳамлае ҳушдор дод, ки ҳадафи он зеркашии маълумот аз анборҳои хусусӣ бо истифода аз аломатҳои вайроншудаи OAuth, ки барои хидматҳои Heroku ва Travis-CI тавлид шудаанд, нигаронида шудааст. Гуфта мешавад, ки ҳангоми ҳамла маълумот аз анборҳои хусусии баъзе созмонҳо ифшо шуд, ки дастрасиро ба анборҳои платформаи Heroku PaaS ва системаи ҳамгироии пайвастаи Travis-CI боз кард. Дар байни қурбониён GitHub ва лоиҳаи NPM буданд.
Ҳамлагарон тавонистанд аз анбори хусусии GitHub калиди дастрасӣ ба API-и Amazon Web Services, ки дар инфрасохтори лоиҳаи NPM истифода мешаванд, истихроҷ кунанд. Калиди натиҷавӣ дастрасиро ба бастаҳои NPM, ки дар хидмати AWS S3 нигоҳ дошта мешаванд, иҷозат дод. GitHub боварӣ дорад, ки бо вуҷуди дастрасӣ ба анбори NPM, он бастаҳоро тағир надодааст ё маълумоти бо ҳисобҳои корбар алоқамандро ба даст наовардааст. Инчунин қайд карда мешавад, ки азбаски инфрасохторҳои GitHub.com ва NPM алоҳидаанд, ҳамлагарон пеш аз баста шудани аломатҳои мушкил барои зеркашии мундариҷаи анбори дохилии GitHub, ки бо NPM алоқаманд нестанд, вақт надоштанд.
Ҳамла рӯзи 12 апрел пас аз он ошкор шуд, ки ҳамлагарон кӯшиш карданд, ки калиди AWS API-ро истифода баранд. Баъдтар, ҳамлаҳои шабеҳ ба баъзе созмонҳои дигар сабт шуданд, ки онҳо низ токенҳои замимаи Heroku ва Travis-CI истифода мекарданд. Ташкилотҳои зарардида ном бурда нашудаанд, аммо ба ҳамаи корбароне, ки аз ҳамла зарар дидаанд, огоҳиҳои инфиродӣ фиристода шудаанд. Корбарони замимаҳои Heroku ва Travis-CI ташвиқ карда мешаванд, ки гузоришҳои амниятӣ ва аудитро барои муайян кардани аномалияҳо ва фаъолияти ғайриоддӣ баррасӣ кунанд.
Ҳанӯз маълум нест, ки токенҳо чӣ гуна ба дасти ҳамлагарон афтодаанд, аммо GitHub боварӣ дорад, ки онҳо дар натиҷаи созиши инфрасохтори ширкат ба даст наомадаанд, зеро токенҳо барои иҷозати дастрасӣ аз системаҳои беруна дар тарафи GitHub нигоҳ дошта намешаванд. дар формати аслӣ, ки барои истифода мувофиқ аст. Таҳлили рафтори ҳамлагар нишон дод, ки ҳадафи асосии зеркашии мундариҷаи анборҳои хусусӣ эҳтимолан таҳлили мавҷудияти маълумоти махфӣ дар онҳо, аз қабили калидҳои дастрасӣ, ки метавонанд барои идомаи ҳамла ба дигар унсурҳои инфрасохтор истифода шаванд, бошад. .
Манбаъ: opennet.ru