GitHub zei dinsdag dat het ongeautoriseerde toegang tot zijn interne opslagplaatsen onderzoekt nadat de beruchte bedreigingsacteur bekend als TeamPCP de broncode van het platform en de interne organisaties te koop had gezet op een cybercriminaliteitsforum.
“Hoewel we momenteel geen bewijs hebben van impact op klantinformatie die is opgeslagen buiten de interne opslagplaatsen van GitHub (zoals de ondernemingen, organisaties en opslagplaatsen van onze klanten), houden we onze infrastructuur nauwlettend in de gaten voor vervolgactiviteiten”, aldus de dochteronderneming van Microsoft.
Het bedrijf merkte ook op dat het klanten via gevestigde incidentrespons- en meldingskanalen op de hoogte zal stellen als er enige impact wordt ontdekt.
De ontwikkeling komt nadat TeamPCP, een bedreigingsacteur achter een reeks software supply chain-aanvallen gericht op open-sourcepakketten, de broncode van GitHub te koop had aangeboden voor een vraagprijs van niet minder dan $ 50.000. De vermeende datadump zou ongeveer 4.000 opslagplaatsen omvatten.
“Zoals altijd is dit geen losgeld”, zei de groep in een bericht, volgens screenshots gedeeld door Dark Web Informer. “Het maakt ons niet uit om GitHub, één koper, af te persen en we versnipperen de gegevens aan onze kant. Het lijkt erop dat we binnenkort met pensioen gaan, dus als er geen koper wordt gevonden, lekken we deze gratis.”
In een vervolgupdate die op X werd gedeeld, zei GitHub dat het een inbreuk op een werknemersapparaat met een vergiftigde Microsoft Visual Studio Code-extensie had gedetecteerd en bevatte. Als risicobeperkende maatregel heeft het bedrijf kritische geheimen gerouleerd, waarbij prioriteit wordt gegeven aan referenties met de hoogste impact.
“Onze huidige inschatting is dat de activiteit alleen betrekking had op exfiltratie van interne GitHub-repository’s”, aldus GitHub. “De huidige claims van de aanvaller over ~3.800 repository’s zijn richtinggevend consistent met ons onderzoek tot nu toe.”
Na het incident verklaarde een X-account gekoppeld aan TeamPCP, xploitrsturtle2: “GitHub wist het al uren, ze hebben het je niet verteld en ze zullen in de toekomst niet eerlijk zijn. Wat een geweldige run, het was een eer om de afgelopen maanden met de katten te spelen.”
TeamPCP compromitteert PyPI-pakket voor duurzame taken
Het nieuws over de verkoop komt nu de zelfreplicerende malwarecampagne van TeamPCP, bekend als Mini Shai-Hulud, zich blijft uitbreiden met het compromis van duurzametask, een officiële Microsoft Python-client voor het duurzame taakwerkstroomuitvoeringsframework. Er zijn drie kwaadaardige pakketversies geïdentificeerd: 1.4.1, 1.4.2 en 1.4.3.
“De aanvaller heeft via een eerdere aanval een GitHub-account gecompromitteerd, GitHub-geheimen gedumpt uit een repository waartoe de gebruiker toegang had, en van daaruit toegang gehad tot het PyPi-token om rechtstreeks te publiceren”, aldus Wiz, eigendom van Google.
De payload die in het pakket is ingebed, is een dropper, die is geconfigureerd om een tweede fase payload (“rope.pyz”) op te halen en uit te voeren vanaf een externe server (“check.git-service(.)com”). Er wordt aangenomen dat de malware een evolutie is van de payload die is ingezet in verband met de compromittering van het Guardrails-ai-pakket van vorige week.
Het is specifiek ontworpen om een volledig uitgeruste infostealer te activeren die in staat is om inloggegevens te verzamelen die zijn gekoppeld aan grote cloudproviders, wachtwoordbeheerders en ontwikkelaarstools, en de gegevens te exfiltreren naar het door de aanvaller gecontroleerde domein. Het is vermeldenswaard dat de stealer is geconfigureerd om alleen op Linux-systemen te worden uitgevoerd.
Volgens SafeDep probeert de Python-stealer van 28 KB ook HashiCorp Vault KV-geheimen te lezen, 1Password- en Bitwarden-wachtwoordkluizen te ontgrendelen en te dumpen, en toegang te krijgen tot SSH-sleutels, Docker-inloggegevens, VPN-configuraties en shell-geschiedenis.
“Als de machine binnen AWS draait, verspreidt deze zichzelf naar andere EC2-instanties met behulp van SSM. Als de machine zich binnen Kubernetes bevindt, verspreidt deze zich via kubectl exec”, aldus Aikido Security. “En als het Israëlische of Iraanse systeeminstellingen detecteert, is er een kans van 1 op 6 dat het audio afspeelt en vervolgens rm -rf /* uitvoert.”
“Na het opsommen van door SSM beheerde instanties, gebruikt het SendCommand met het AWS-RunShellScript-document om de payload touw.pyz uit te voeren op maximaal 5 andere EC2-instanties per profiel”, aldus StepSecurity. “Het propagatiescript downloadt de payload van de primaire C2, valt terug naar het secundaire domein tm-kosche(.)com, en voert het op de achtergrond uit.”
Ook opmerkelijk is het gebruik van het FIRESCALE-mechanisme om een back-up command-and-control (C2)-adres te identificeren voor het geval het primaire domein onbereikbaar is. Dit gebeurt door in de openbare commit-berichten van GitHub te zoeken naar het patroon “FIRESCALE
Omdat de worm zich voortplant met behulp van tokens die uit geïnfecteerde omgevingen zijn gestolen, wordt verwacht dat het aantal getroffen pakketten zal toenemen. Elke machine of pijplijn waarop een getroffen versie van het pakket is geïnstalleerd, moet als volledig gecompromitteerd worden beschouwd.
“Het pakket wordt ongeveer 417.000 keer per maand gedownload en de kwaadaardige code wordt automatisch uitgevoerd op het moment dat het pakket wordt geïmporteerd, zonder foutmeldingen en zonder zichtbare tekenen van compromis”, zegt Peyton Kennedy, onderzoeker van Endor Labs.
