Eine vergiftete VS Code-Erweiterung hat die internen Repositorys von GitHub kompromittiert. Rund 3.800 Repos könnten offengelegt sein, während GitHub Geheimnisse rotiert und den Angriff untersucht.
Ein einzelnes Mitarbeitergerät. Das war der Einstieg. GitHub bestätigte, dass es einen Kompromiss erkannt und eingedämmt hat, bei dem eine vergiftete VS Code-Erweiterung auf einem internen Gerät installiert war. Die schädliche Erweiterungsversion wurde inzwischen entfernt. Der Endpunkt wurde isoliert. Die Reaktion auf den Vorfall begann unmittelbar nach der Entdeckung, so das Unternehmen.
Die Plattform meldete zunächst ungewöhnliche Aktivitäten in einem Beitrag auf X und erklärte, dass sie unbefugten Zugriff auf ihre internen Repositorys untersuche. Zu diesem Zeitpunkt wurden keine Hinweise auf eine Beeinträchtigung von Kundendaten gefunden, die außerhalb dieser internen Systeme gespeichert waren.
Was entwendet wurde und wie tief es geht
Der Angreifer behauptete später, Zugriff auf etwa 3.800 Repositorys gehabt zu haben. GitHub erklärte auf X, diese Zahl sei „richtungskonform“ mit dem, was die Untersuchung bisher ergeben habe.
Der Vorfall geht auf einen Supply-Chain-Angriff auf Entwicklerwerkzeuge zurück. Kein direkter Systemeinbruch. Jemand hat eine Erweiterung vergiftet, der Entwickler täglich vertrauen, wartete und sammelte, was durchkam.
GitHub stellte in einem weiteren Beitrag fest, dass kritische Geheimnisse noch am selben Tag, an dem der Vorfall entdeckt wurde, und die gesamte Nacht hindurch rotiert wurden. Die wirkungsvollsten Anmeldedaten wurden zuerst ausgetauscht. Das Unternehmen setzte die Validierung dieser Rotationen und die Überwachung auf Folgeaktivitäten fort.
Binance-Gründer mischt sich ein
Changpeng Zhao, auf X bekannt als @cz_binance, zitierte GitHubs erste Offenlegung des Vorfalls. Seine Botschaft war unverblümt: Jeder, der API-Schlüssel im Code gespeichert hat, selbst in privaten Repositorys, sollte sie jetzt noch einmal überprüfen und rotieren lassen.
Private Repos sind kein sicherer Ort für Geheimnisse. Das war der Punkt. Laut @github auf X scheinen nur GitHub-interne Repositorys betroffen zu sein. Unternehmen, Organisationen und kundeneigene Repositorys auf der Plattform fallen basierend auf den aktuellen Erkenntnissen nicht in den Bereich dessen, worauf zugegriffen wurde.
Das könnte sich ändern. GitHub stellte klar, dass die Untersuchung noch läuft und dass bei Bedarf weitere Maßnahmen ergriffen werden.
GitHubs Zeitplan seit der Entdeckung
Die Reaktion verlief schnell, zumindest auf der Seite der Geheimnisse. Kritische Anmeldedaten wurden innerhalb von Stunden priorisiert. Protokolle werden noch analysiert. GitHub erklärte auf X, dass es plane, einen ausführlicheren Bericht zu veröffentlichen, sobald die Untersuchung abgeschlossen ist.
Es wurde kein Zeitplan genannt, wann dieser Bericht erscheint.
Das übergreifende Muster ist nicht völlig neu. Entwicklerwerkzeuge sind zu einem wiederkehrenden Einstiegspunkt für Angreifer geworden, die Geduld über rohe Gewalt stellen. Eine vertrauenswürdige Erweiterung, installiert auf einem legitimen Gerät, innerhalb eines großen Infrastrukturunternehmens. Die Rechnung ist einfach, wenn man bereit ist zu warten.
GitHub bekräftigte in seinem X-Thread, dass Kunden über etablierte Kanäle zur Reaktion auf Vorfälle benachrichtigt würden, falls Auswirkungen auf ihre Daten festgestellt werden.
Die Untersuchung läuft noch.
Schreibe einen Kommentar