TeamPCP behauptet, 4000 private Repositories von GitHub erhalten zu haben und das Risiko für Ihren Code

GitHub bestätigte, dass es einen möglichen unbefugten Zugriff auf seine internen Repositories nach der Gruppe, die als TeamPCP in einem Cyberkriminellen Forum behauptet wurde, in der Nähe erhalten haben 4.000 private Repositorys. Die Plattform, die Millionen von Entwicklern und vieles von dem globalen Geschäftsgefüge beherbergt, hat jetzt erklärt, dass es keinen Beweis dafür gibt, dass Kundendaten außerhalb ihrer internen Repositories betroffen sind, aber die Art und den Umfang der Intrusion bleibt unklar.

Der TeamPCP-Antrag umfasst den Verkauf von angeblichen Quell- und geheimen Volumes für mindestens $50.000, und kommt in einem Kontext, in dem dieser Schauspieler zuvor mit Angriffen auf Software-Versorgungsketten zusammenhängt: Paket- und Tool-Plattform-Verpflichtungen (PyPI, npm, Docker), der Eindringen in den Aqua Security Trivy Sicherheitsscanner und Kampagnen, die Malware und ausgefilterte Anmeldeinformationen verbreiten. Eine Analyse, wie diese Vorfälle zu zusätzlichen Auswirkungen führten, findet sich in dem von Sysdig veröffentlichten technischen Bericht über die Ausweitung dieser Verpflichtungen: TeamPCP erweitert die kompromittierte Lieferkette.

Für Organisationen und Entwickler mit GitHub variieren die potenziellen Folgen von geistigem Eigentum und geheimer Exposition (Token, API-Schlüssel, CI / CD-Berechtigungen) bis zur Erstellung von Vektoren für zukünftige Phishing- oder Supply-Chain-Kampagnen. Interne Code-Exposition kann gezielte Angriffe, Einheiten supplantieren und Produktionsverpflichtungen erleichtern wenn es in diesen Repositorys automatisierte Skripte, eingebettete Anmeldeinformationen oder Pipelines mit übermäßigen Privilegien gab.

Was sollen technische Teams jetzt tun? Erstens, um auf der Prämisse zu arbeiten, dass sensible Informationen möglicherweise beeinträchtigt wurden: sofort Überprüfung und Rotation von Anmeldeinformationen im Zusammenhang mit GitHub-Aktionen, Läufern, Containern und internen Repositories; zu widerrufen persönliche und fremde Zugriffstoken, die nicht mehr essenziell sind; und die Rotation von Geheimnissen zu zwingen, die in Code- oder Umgebungsvariablen gespeichert wurden. Es ist wichtig, den Audit-Record der Organisation zu aktivieren und zu überprüfen, ungewöhnlichen Zugriff zu suchen und die Integrität der eingesetzten Geräte zu korrodieren.

Darüber hinaus ist es angebracht, die präventiven Kontrollen zu verstärken: SAML / SSO und MFA-Anforderungen für Konten mit privilegiertem Zugriff, den Umfang von CI / CD-Token auf das notwendige Minimum zu begrenzen, Auslaufrichtlinien für langfristige Anmeldeinformationen anzuwenden und eine automatische Abtastung von Geheimnissen und Abhängigkeiten zu ermöglichen (z.B. Secret Scanning und Dependabot in GitHub). Für Teams, die für Bilder und Pipelines verantwortlich sind, ist die praktische Empfehlung, Bilder aus vertrauenswürdigen Quellen zu rekonstruieren und die CI / CD-Schritte zu überprüfen, falls es schädliche Rahmen oder Aktionen enthalten.

Auf der Ebene der Antworten sollten die betroffenen Unternehmen mit ihrem Rechts- und Compliance-Team koordinieren, um die Notwendigkeit von regulatorischen Mitteilungen zu bewerten, Beweise zu bewahren und mit GitHub über offizielle Zwischenfälle zu arbeiten: Das Unternehmen hat gesagt, dass es die betroffenen Kunden durch die etablierten Meldemechanismen alarmieren wird. Um offizielle Mitteilungen und Updates zu folgen, wird empfohlen, die Statusseite und den GitHub Blog zu überprüfen: GitHub Status und Wie geht's?.

Man muss auch daran denken, dass die Verhandlungen mit denen, die gestohlene Daten veröffentlichen oder verkaufen, illegal sind und oft das Risiko verschlechtern: diejenigen, die gestohlenen Code kaufen, können es in legitime Projekte einführen oder andere Angreifer mit dem Fenster, um mehr Infrastruktur zu beschädigen. Wenn Sie erkennen, dass Ihre eigenen Daten in unerlaubten Foren oder Märkten sind, dokumentieren Sie die Beweise, melden Sie sie Ihrem CSIRT und gegebenenfalls den Sicherheitskräften oder zuständigen Behörden.

Schließlich unterstreicht dieser Vorfall, dass die Softwaresicherheit eine kollektive Herausforderung ist: Die zentralisierten Plattformen, die die Zusammenarbeit erleichtern, sind ein sehr attraktives Ziel für organisierte Gegner. Die Stärkung der guten Praktiken in der digitalen Hygiene, der Privilegsegmentierung, der kontinuierlichen Sicherheitsbewertungen und der Vorfallreaktionsvorbereitung sind Maßnahmen, die in den täglichen Betrieb jeder Organisation integriert werden müssen, die von Cloud-managed Repositories und Pipelines abhängt.