TeamPC affirme avoir obtenu 4000 dépôts privés de GitHub et le risque pour votre code

GitHub a confirmé qu'elle enquêtait sur l'accès non autorisé possible à ses dépôts internes après que le groupe connu sous le nom de TeamPCP a prétendu dans un forum cybercriminel d'avoir obtenu près de 4 000 dépôts privés. La plate-forme, qui abrite des millions de développeurs et une grande partie du tissu commercial mondial, a déclaré pour l'instant qu'il n'y a aucune preuve que les données sur les clients soient affectées en dehors de ses dépôts internes, mais la nature et la portée de l'intrusion demeurent incertaines.

La réclamation TeamPCP comprend la vente de volumes présumés source et secrets d'au moins 50 000 $, et s'inscrit dans un contexte dans lequel cet acteur a déjà été lié à des attaques contre des chaînes d'approvisionnement de logiciels : des engagements de paquets et de plates-formes d'outils (PyPI, npm, Docker), l'intrusion dans le scanner de vulnérabilité Aqua Security Trivy et des campagnes qui propagent des logiciels malveillants et des références exfiltrées. On trouvera dans le rapport technique publié par Sysdig sur l'élargissement de ces engagements une analyse de la manière dont ces incidents antérieurs ont eu des répercussions supplémentaires : TeamPC élargit la chaîne d'approvisionnement compromise.

Pour les organisations et les développeurs utilisant GitHub, les conséquences potentielles varient de la propriété intellectuelle et de l'exposition secrète (jetons, clés API, IC / CD) à la création de vecteurs pour les futures campagnes de phishing ou de chaîne d'approvisionnement. L'exposition au code interne peut faciliter les attaques ciblées, le remplacement des unités et les engagements de production si dans ces dépôts il y avait des scripts automatisés, des identifiants intégrés ou des pipelines avec des privilèges excessifs.

Que devraient faire maintenant les équipes techniques? Tout d'abord, utiliser la prémisse selon laquelle des informations sensibles peuvent avoir été compromises : examiner immédiatement et faire pivoter les références liées aux actions, aux coureurs, aux conteneurs et aux dépôts internes de GitHub; révoquer les jetons d'accès personnels et tiers qui ne sont plus essentiels; et forcer la rotation des secrets qui peuvent avoir été stockés dans des variables de code ou d'environnement. Il est essentiel d'activer et d'examiner le dossier de vérification de l'organisation, de rechercher un accès inhabituel et de corroborer l'intégrité des dispositifs déployés.

En outre, il convient de renforcer les contrôles préventifs: imposer des exigences SAML/SSO et MFA pour les comptes ayant un accès privilégié, limiter la portée des jetons CI/CD au minimum nécessaire, appliquer des politiques d'expiration pour les identifiants à long terme et permettre le balayage automatique des secrets et des dépendances (par exemple, Scannage secret et Dependabot dans GitHub). Pour les équipes responsables des images et des pipelines, la recommandation pratique est de reconstruire les images à partir de sources fiables et de vérifier les étapes CI / CD au cas où il y aurait des cadres malveillants ou des actions incorporées.

Au niveau de la réponse, les entreprises concernées devraient coordonner avec leur équipe juridique et de conformité afin d'évaluer la nécessité de notifications réglementaires, de préserver les preuves et de travailler avec GitHub par les canaux d'incident officiels: la société a déclaré qu'elle alerterait les clients touchés par ses mécanismes de déclaration établis. Pour suivre les communications officielles et les mises à jour, il est recommandé de consulter la page d'état et le blog GitHub : État GitHub et GitHub Blog.

Il faut aussi se rappeler que la négociation avec ceux qui publient ou vendent des données volées est illégale et aggrave souvent le risque : ceux qui achètent du code volé peuvent l'introduire dans des projets légitimes ou fournir à d'autres attaquants la fenêtre pour endommager davantage d'infrastructures. Si vous constatez que vos propres données se trouvent dans des forums ou des marchés illicites, documentez les preuves, signalez-les à votre CSIRT et, le cas échéant, aux forces de sécurité ou aux autorités compétentes.

Enfin, cet incident souligne que la sécurité des logiciels est un défi collectif : les plateformes centralisées qui facilitent le travail collaboratif sont un objectif très attrayant pour les adversaires organisés. Le renforcement des bonnes pratiques en matière d'hygiène numérique, la segmentation des privilèges, les examens continus de la sécurité et la préparation des interventions en cas d'incident sont des mesures qui doivent être intégrées au fonctionnement quotidien de toute organisation qui dépend des dépôts et pipelines gérés par le cloud.