Alerta de hack do GitHub: o que você precisa fazer com suas chaves e credenciais de API hoje

O GitHub confirmou na terça-feira que os invasores obtiveram acesso não autorizado aos seus repositórios internos após comprometer o dispositivo de um funcionário por meio de uma extensão envenenada do Visual Studio Code. A plataforma de propriedade da Microsoft detectou e conteve o comprometimento, removeu a extensão maliciosa, isolou o endpoint afetado e iniciou a resposta ao incidente imediatamente.

A empresa disse sua avaliação atual é que a violação envolveu apenas a exfiltração de repositórios internos do GitHub. Não se acredita que repositórios de clientes, organizações empresariais e dados de usuários armazenados fora dos sistemas internos do GitHub tenham sido afetados.

A escala da violação

O GitHub confirmou que as reivindicações do invasor sobre aproximadamente 3.800 repositórios internos são direcionalmente consistentes com sua própria investigação. O grupo de ameaças TeamPCP assumiu a responsabilidade pela violação e está supostamente tentando vender o conjunto de dados roubado em fóruns clandestinos de crimes cibernéticos por mais de US$ 50.000. O grupo alega que os dados incluem código-fonte de plataforma proprietária e arquivos de organização interna de cerca de 4.000 repositórios privados.

O GitHub disse que agiu rapidamente para alternar credenciais críticas após detectar a violação, priorizando primeiro os segredos de maior impacto. A empresa continua analisando logs, validando a rotação secreta e monitorando atividades subsequentes.

Por que o acesso ao repositório interno é sério

A empresa disse que não há evidências de impacto nas informações dos clientes armazenadas fora dos repositórios internos. Os pesquisadores de segurança observaram que o texto específico é importante. Nenhuma evidência de impacto não é uma confirmação de que os dados do cliente estão seguros. Isso significa que a investigação está em andamento e o raio total da explosão ainda não foi determinado.

Os repositórios internos normalmente contêm configurações de infraestrutura, scripts de implantação, documentação interna da API, credenciais de teste, sinalizadores de recursos, ganchos de monitoramento e serviços não documentados. O acesso ao código-fonte interno fornece efetivamente um modelo da arquitetura completa de um sistema, mesmo sem acesso direto aos dados do cliente.

Os profissionais de segurança também sinalizaram a menção explícita do GitHub ao monitoramento de atividades subsequentes como significativa. Os ataques modernos raramente param no acesso inicial. A progressão padrão passa da posição inicial através do reconhecimento, escalada de privilégios, persistência e, em seguida, uma segunda onda de atividades direcionadas depois que os defensores acreditam que a ameaça foi contida.

O que o GitHub está fazendo

O GitHub disse que os segredos críticos foram alternados no mesmo dia em que a violação foi detectada, com as credenciais mais confidenciais abordadas primeiro. A empresa continua monitorando a infraestrutura para qualquer atividade secundária e publicará um relatório mais completo do incidente assim que a investigação for concluída. Os clientes serão notificados através de canais de resposta a incidentes estabelecidos se for descoberto qualquer impacto nos seus dados.

Os desenvolvedores que usam o GitHub foram aconselhados a revisar e alternar quaisquer chaves de API armazenadas nos repositórios como precaução, mesmo quando se acredita que os repositórios dos clientes não tenham sido diretamente afetados.

A história termina aqui

Leia as próximas notícias