Ведущий мировой сервис для хостинга IT-проектов и совместной разработки GitHub подтвердил факт кибератаки, в результате которой произошла утечка конфиденциальных внутренних данных. Инцидент связан с компрометацией устройства одного из сотрудников, который загрузил вредоносное расширение для среды разработки VS Code, что привело к эксфильтрации примерно 4000 репозиториев.
Обстоятельства взлома
В кратком сообщении на платформе X компания GitHub сообщила, что устройство одного из её сотрудников было скомпрометировано после загрузки вредоносного расширения для VS Code. Сразу после обнаружения проблемы специалисты GitHub удалили вредоносное ПО, изолировали затронутое устройство и начали расследование. По его итогам было установлено, что злоумышленникам удалось получить доступ к конфиденциальным данным.
Ответственность TeamPCP и продажа данных
Ответственность за атаку взяла на себя хакерская группировка TeamPCP. По данным GitHub, инцидент затронул исключительно внутренние репозитории компании. При этом количество скомпрометированных репозиториев, заявленное злоумышленниками (около 3800), соответствует текущим результатам внутреннего расследования. В ответ на инцидент GitHub оперативно сменил все критически важные учетные данные, продолжает анализировать логи, подтверждать ротацию секретов и отслеживать потенциальную последующую активность. В компании заявили, что будут предпринимать дополнительные меры по мере развития расследования.
Архив, содержащий около 4000 внутренних репозиториев GitHub, предположительно выставлен на продажу на даркнете. Сообщается, что группировка TeamPCP требует 50 000 долларов США за эти данные. Примечательно, что запрос выкупа самой компании GitHub не предъявлялся. Хакеры, как утверждается, заявили о наличии «около 4000 репозиториев приватного кода» и предоставили образцы для подтверждения своих слов. TeamPCP также пригрозила бесплатно опубликовать весь архив в даркнете, если он не будет куплен в ближайшее время.
Предыстория атак группы TeamPCP
Группировка TeamPCP известна как одна из наиболее активных киберпреступных организаций, наряду с ShinyHunters. Она стоит за масштабными кампаниями Shai-Hulud и Mini Shai-Hulud, в ходе которых были скомпрометированы многочисленные репозитории GitHub и npm. Злоумышленники использовали их для распространения вредоносного ПО, затронувшего потенциально тысячи проектов.
Недавно TeamPCP опубликовала более 600 вредоносных пакетов в реестре npm, нацеленных на более чем 300 уникальных пакетов. Методы группировки включают кражу учетных данных и токенов доступа, что позволяет им получать контроль над легитимными пакетами. Затем эти пакеты обновляются, чтобы внедрять шпионское ПО (инфостилеры), похищать дополнительные данные аутентификации и компрометировать среды непрерывной интеграции/непрерывного развертывания (CI/CD).
