ڈراپ باکس نے ایک واقعے کے بارے میں معلومات کا انکشاف کیا ہے جس میں حملہ آوروں نے GitHub پر میزبان 130 نجی ذخیروں تک رسائی حاصل کی۔ یہ الزام لگایا گیا ہے کہ سمجھوتہ شدہ ذخیروں میں موجودہ اوپن سورس لائبریریوں کے فورک شامل ہیں جو ڈراپ باکس کی ضروریات کے لیے تبدیل کیے گئے ہیں، کچھ اندرونی پروٹو ٹائپس کے ساتھ ساتھ سیکیورٹی ٹیم کے ذریعے استعمال کی جانے والی یوٹیلیٹیز اور کنفیگریشن فائلز۔ اس حملے نے بنیادی ایپلی کیشنز اور کلیدی انفراسٹرکچر عناصر کے کوڈ والے ذخیروں کو متاثر نہیں کیا، جو الگ سے تیار کیے گئے تھے۔ تجزیہ سے پتہ چلتا ہے کہ اس حملے سے صارف کی بنیاد کو لیک ہونے یا بنیادی ڈھانچے سے سمجھوتہ نہیں ہوا۔
ریپوزٹریز تک رسائی ان ملازمین میں سے ایک کی اسناد کو روکنے کے نتیجے میں حاصل کی گئی تھی جو فشنگ کا شکار ہوئے تھے۔ حملہ آوروں نے ملازم کو سرکل سی آئی کے مسلسل انضمام کے نظام کی طرف سے ایک انتباہ کی آڑ میں ایک خط بھیجا جس میں سروس کے قواعد میں تبدیلیوں کے ساتھ معاہدے کی تصدیق کی ضرورت تھی۔ ای میل میں لنک ایک جعلی ویب سائٹ کی طرف لے گیا جس کا انداز CircleCI انٹرفیس سے ملتا جلتا تھا۔ لاگ ان پیج نے گٹ ہب سے صارف نام اور پاس ورڈ درج کرنے کے ساتھ ساتھ دو عنصر کی توثیق کو پاس کرنے کے لیے ایک بار کا پاس ورڈ بنانے کے لیے ایک ہارڈویئر کلید کا استعمال کرنے کو کہا۔
ماخذ: opennet.ru