Проти мережі розробників GitHub розгорнулася складна кібератака

Під час помітної кібератаки на ланцюжок постачання розробники GitHub зіткнулися зі складною загрозою, націленою на репозиторії коду й окремих користувачів. Зловмисники використовували різні стратегії, зокрема компрометацію облікових записів GitHub, впровадження шкідливого коду в широко використовувані пакети Python і напад на репозиторії з високою репутацією, як-от Top.gg.

Під час складної кібератаки на ланцюжок постачання невстановлена група напала на членів організації Top.gg GitHub і окремих розробників, впровадивши шкідливий код в екосистему коду. Ця багатогранна атака охоплювала кілька методів для компрометації розробників і проникнення в надійні елементи розробки програмного забезпечення.

Методологія атаки

Як повідомляє darkreading.com, зловмисники використовували різноманітні тактики, зокрема захоплення облікових записів GitHub за допомогою викрадених файлів cookie, внесення шкідливого коду через підтверджені коміти, створення підробленого дзеркала Python і випуск заражених пакетів у реєстрі PyPI. Ці методи допомогли зловмисникам організувати заплутані атаки, ухилитися від виявлення й ускладнити виконання захисних заходів.

Застосовуючи переконливу техніку тайпсквотингу, зловмисники обманювали користувачів за допомогою фальшивого дзеркального домену Python, схожого на офіційний. Втручаючись у популярні пакети Python, як-от Colorama, вони приховували шкідливий код у начебто легітимному програмному забезпеченні, розширюючи сферу свого впливу за межі репозиторіїв GitHub. Використання акаунтів GitHub Top.gg із високою репутацією надавало їхнім діям більшої переконливості, що полегшувало впровадження шкідливих комітів.

На завершальному етапі шкідливе програмне забезпечення націлилося на популярні користувацькі платформи, викрадаючи конфіденційну інформацію, як-от криптовалютні гаманці, дані сесій у Telegram і профілі в Instagram. Використовуючи кейлогер, зловмисники перехоплювали натискання клавіш, компрометуючи паролі й особисті повідомлення. Викрадені дані розповсюджувалися за допомогою різноманітних технік, наприклад через анонімні файлообмінники й HTTP-запити, причому кожна жертва відстежувалася за унікальними ідентифікаторами.

Оборонні стратегії та перспективи

Попри складні тактики зловмисників, пильні учасники спільноти виявили цю зловмисну діяльність і повідомили про неї, що спонукало Cloudflare вжити заходів для її припинення. Однак загроза залишається активною, що підкреслює необхідність постійного моніторингу й аудиту нових внесків до проектів із розробки коду.

Фахівцям з ІТ-безпеки рекомендується зосередитися на навчанні й інформуванні розробників про ризики атак на ланцюжки постачання. Співпраця й обмін ресурсами мають вирішальне значення для випередження зловмисників, які загрожують ланцюгам постачання програмного забезпечення. З розвитком подібних загроз експерти прогнозують збільшення кількості атак, спрямованих на конвеєри збирання, штучний інтелект і великі мовні моделі.

Нещодавня атака посилила занепокоєння щодо безпеки ланцюжків постачання програмного забезпечення. Подібні інциденти вплинули на хмарні версії платформ для розробки програмного забезпечення, як-от JetBrains TeamCity, і призвели до оновлення шкідливого коду в репозиторіях GitHub. Слабкі засоби автентифікації та контролю доступу також сприяють атакам на ланцюжки постачання, про що свідчать нові інциденти, спрямовані на ізраїльські університети через постачальника технологій.

Повідомлення про нові загрози й успішні кібератаки на компанії з’являються щодня. Не чекайте, поки черговою жертвою зловмисників станете ви, а вдавайтеся до активних заходів, щоб цьому запобігти. Зверніться до DigVel!