Dropbox tajovuzkorlar GitHub’da joylashgan 130 ta shaxsiy omborga kirish huquqiga ega bo‘lgan voqea haqidagi ma’lumotlarni oshkor qildi. Taʼkidlanishicha, buzilgan omborlarda Dropbox ehtiyojlari uchun oʻzgartirilgan mavjud ochiq kodli kutubxonalardan vilkalar, baʼzi ichki prototiplar, shuningdek, xavfsizlik guruhi tomonidan foydalaniladigan yordamchi dasturlar va konfiguratsiya fayllari boʻlgan. Hujum alohida ishlab chiqilgan asosiy ilovalar va asosiy infratuzilma elementlari uchun kodli omborlarga ta'sir qilmadi. Tahlil shuni ko'rsatdiki, hujum foydalanuvchilar bazasining sizib chiqishiga yoki infratuzilmaning buzilishiga olib kelmagan.
Repozitariylarga kirish fishing qurboniga aylangan xodimlardan birining maʼlumotlarini ushlash natijasida olingan. Hujumchilar xodimga CircleCI uzluksiz integratsiya tizimidan ogohlantirish niqobi ostida xizmat ko'rsatish qoidalariga kiritilgan o'zgartirishlar bilan kelishuvni tasdiqlash talabi bilan xat yuborishgan. Elektron pochtadagi havola CircleCI interfeysiga o'xshash soxta veb-saytga olib keldi. Kirish sahifasida GitHub'dan foydalanuvchi nomi va parolni kiritish, shuningdek, ikki faktorli autentifikatsiyadan o'tish uchun bir martalik parol yaratish uchun apparat kalitidan foydalanish so'ralgan.
Manba: opennet.ru