Blisko 4 tysiące repozytoriów GitHub wykradzione przez złośliwe rozszerzenie VS Code

Atak na łańcuch dostaw oprogramowania przybrał nową, zaskakującą formę. GitHub potwierdził, że w wyniku zainstalowania przez jednego z pracowników spreparowanego rozszerzenia do popularnego edytora VS Code, sprawcy uzyskali dostęp do około 3800 wewnętrznych repozytoriów kodu źródłowego. Incydent dowodzi, jak groźne mogą być zaufane narzędzia programistyczne i jak łatwo pojedynczy błąd może doprowadzić do masowego wycieku.

Jak doszło do ataku?

Jak poinformował BleepingComputer, atak rozpoczął się po tym, jak pracownik GitHub zainstalował niebezpieczną wersję rozszerzenia do edytora kodu VS Code. Firma po wykryciu incydentu „usunęła złośliwą wersję rozszerzenia z marketplace’u, odizolowała urządzenie i natychmiast rozpoczęła reagowanie na incydent”. GitHub uzupełnia: „nasza obecna ocena wskazuje, że aktywność polegała na wyeksfiltrowaniu wyłącznie wewnętrznych repozytoriów GitHub”. Firma nie znalazła dowodów na to, by dane klientów przechowywane poza dotkniętymi repozytoriami zostały naruszone.

Do kradzieży przyznała się grupa hakerska TeamPCP, która na forum Breached opublikowała ogłoszenie o posiadaniu dostępu do „~4000 repozytoriów z prywatnym kodem” i zażądała co najmniej 50 tysięcy dolarów za wykradzione dane. W swoim wpisie cyberprzestępcy zaznaczyli, że nie chodzi o okup, ale o jednorazową sprzedaż – grożąc, że w razie braku kupca opublikują dane za darmo.

Dlaczego to ważne dla firm i programistów?

Incydent dowodzi, że zagrożenie nie pochodzi wyłącznie z zaawansowanych exploitów, ale także z pozornie niewinnych wtyczek. Rozszerzenia do VS Code są powszechnie instalowane przez programistów na całym świecie, a oficjalny marketplace nie zawsze jest w stanie szybko wychwycić szkodliwe wersje. Wcześniej wykryto już złośliwe rozszerzenia, które kradły dane logowania, instalowały koparki kryptowalut, a nawet zawierały podstawowe funkcje ransomware.

Grupa TeamPCP, która stoi za tym atakiem, ma na koncie szereg wcześniejszych kampanii wymierzonych w platformy programistyczne, w tym GitHub, PyPI, NPM i Docker. Współpraca między różnymi grupami przestępczymi i wykorzystywanie zaufanych narzędzi programistycznych staje się coraz powszechniejszą taktyką w cyberatakach.

Jakie lekcje płyną z tego incydentu?

Atak na GitHub to wyraźny sygnał, że bezpieczeństwo łańcucha dostaw oprogramowania wymaga spojrzenia także na narzędzia, z których korzystają programiści. Administratorzy i osoby odpowiedzialne za bezpieczeństwo w firmach powinni rozważyć kilka praktycznych kroków:

• Ograniczenie źródeł rozszerzeń – warto rozważyć korzystanie wyłącznie z zatwierdzonych wtyczek z wewnętrznego repozytorium lub marketplace’u po uprzedniej weryfikacji.
• Kontrola uprawnień – rozszerzenia nie powinny mieć dostępu do całego środowiska deweloperskiego, jeśli nie jest to niezbędne.
• Audyt używanych wtyczek – regularne przeglądanie listy zainstalowanych rozszerzeń i usuwanie tych, które nie są już potrzebne lub pochodzą z niepewnych źródeł.
• Szkolenia dla programistów – uświadamianie, że nawet rozszerzenia z oficjalnego sklepu mogą być niebezpieczne, jeśli nie są regularnie aktualizowane i sprawdzane.
• Monitorowanie aktywności – wdrożenie systemów wykrywających nietypowe operacje na repozytoriach, takie jak masowe pobieranie kodu.

Co dalej?

GitHub prowadzi szczegółową analizę kryminalistyczną, a sprawdzenie zabezpieczeń po stronie pracownika i usunięcie zagrożenia to dopiero pierwszy etap. W dalszej kolejności można spodziewać się publikacji dodatkowych informacji o tym, jakie dokładnie dane zostały wykradzione i czy zagrożenie dotyczyło także innych obszarów. Incydent ten powinien być przestrogą dla wszystkich firm, które polegają na rozszerzeniach zewnętrznych – w świecie cyberbezpieczeństwa zaufanie do narzędzi programistycznych musi być poparte ciągłą weryfikacją.