أكد GitHub يوم الثلاثاء أن المهاجمين حصلوا على وصول غير مصرح به إلى مستودعاته الداخلية بعد اختراق جهاز موظف من خلال امتداد Visual Studio Code مُسمَّم. وقد اكتشفت المنصة المملوكة لشركة مايكروسوفت الاختراق واحتوته، وأزالت الامتداد الضار، وعزلت النقطة المتضررة، وبدأت الاستجابة للحادث فورًا.
قالت الشركة إن تقييمها الحالي يشير إلى أن الاختراق شمل نقل مستودعات داخلية فقط من GitHub. ولا يُعتقد أن المستودعات الخاصة بالعملاء أو المنظمات المؤسسية أو بيانات المستخدمين المخزنة خارج الأنظمة الداخلية لـ GitHub قد تأثرت.
حجم الخرق
أكد GitHub أن ادعاءات المهاجم بوجود حوالي 3,800 مستودعًا داخليًا يتماشى اتجاهيًا مع تحقيقه الخاص. وقد ادّعت مجموعة التهديد TeamPCP مسؤوليتها عن الاختراق، ويتّهم أنها تحاول بيع مجموعة البيانات المسروقة على منتديات الجريمة الإلكترونية السرية مقابل أكثر من 50,000 دولار. وتزعم المجموعة أن البيانات تشمل كود مصدر المنصة الحصري وملفات تنظيمية داخلية من حوالي 4,000 مستودع خاص.
قال GitHub إنه تحرك بسرعة لتبديل بيانات الاعتماد الحرجة بعد اكتشاف الخرق، مع إعطاء الأولوية لأسرار أعلى تأثير أولاً. وتواصل الشركة تحليل السجلات، والتحقق من تبديل الأسرار، ومراقبة أي نشاط لاحق.
لماذا يعتبر الوصول إلى المستودع الداخلي أمرًا جادًا
قالت الشركة إنها لا تمتلك أي دليل على تأثير على معلومات العملاء المخزنة خارج المستودعات الداخلية. لاحظ باحثو الأمن أن الصياغة المحددة مهمة. عدم وجود دليل على تأثير لا يُعد تأكيدًا على أن بيانات العملاء آمنة. بل يعني أن التحقيق لا يزال جاريًا ولم يتم تحديد نطاق التأثير الكامل بعد.
تحتوي المستودعات الداخلية عادةً على تكوينات البنية التحتية، ونصائح النشر، ووثائق واجهات برمجة التطبيقات الداخلية، وبيانات اعتماد البيئة التجريبية، وعلامات الميزة، ونقاط الرصد، والخدمات غير الموثقة. يوفر الوصول إلى كود المصدر الداخلي خريطة طريق لبناء نظام بأكمله، حتى دون الوصول المباشر إلى بيانات العملاء.
كما حدد خبراء الأمن الإشارة الصريحة من GitHub إلى مراقبة الأنشطة اللاحقة كأمر مهم. نادرًا ما تتوقف الهجمات الحديثة عند الوصول الأولي. التقدم القياسي ينتقل من نقطة دخول أولية إلى الاستطلاع، ورفع الصلاحيات، والاستمرارية، ثم موجة ثانية من الأنشطة المستهدفة بعد أن يعتقد المدافعون أن التهديد قد تم احتواؤه.
ما الذي تفعله GitHub
قال GitHub إن الأسرار الحرجة تم تدويرها في نفس اليوم الذي تم اكتشاف الخرق فيه، مع معالجة أكثر المعلومات حساسية أولاً. وتواصل الشركة مراقبة البنية التحتية لأي نشاط ثانوي، وستنشر تقريرًا أكثر شمولاً عن الحادث بمجرد اكتمال التحقيق. وسيتم إخطار العملاء من خلال قنوات الاستجابة للحوادث المعمول بها إذا تم اكتشاف أي تأثير على بياناتهم.
تم نصح المطورين الذين يستخدمون GitHub بمراجعة وتبديل أي مفاتيح API مخزنة في المستودعات كإجراء احترازي، حتى حيث لا يُعتقد أن المستودعات الخاصة بالعملاء قد تأثرت مباشرة.