Il 20 maggio GitHub ha confermato una violazione dei propri sistemi: gli attaccanti hanno copiato circa 3.800 repository interni dell’azienda. Il punto d’ingresso è stato il computer di un dipendente, infettato da una versione malevola di un’estensione per Visual Studio Code. L’attacco è rivendicato da TeamPCP, lo stesso gruppo che a marzo aveva compromesso Trivy e, negli ultimi mesi, numerosi pacchetti open source.
La catena, anello per anello:
- Pochi giorni prima, la compromissione di decine di pacchetti npm del progetto TanStack aveva diffuso uno stealer di credenziali tra gli sviluppatori. Tra le vittime c’era uno sviluppatore del progetto Nx.
- Con le sue credenziali, il 18 maggio gli attaccanti hanno pubblicato sul marketplace di VS Code la versione 18.95.0 di Nx Console, un’estensione molto diffusa con il badge di editore verificato. È rimasta online meno di venti minuti, ma l’aggiornamento automatico l’ha installata su molti computer.
- All’apertura di un progetto, l’estensione scaricava ed eseguiva un programma che raccoglieva token di GitHub e npm, chiavi SSH, credenziali cloud, dati dei gestori di password e configurazioni degli strumenti di sviluppo basati sull’intelligenza artificiale.
- Tra i computer colpiti c’era quello di un dipendente di GitHub, con le cui credenziali gli attaccanti hanno clonato i repository interni.
GitHub ha isolato il dispositivo, rimosso l’estensione e avviato la rotazione dei segreti più critici. Secondo l’azienda la violazione riguarda solo i repository interni, e non ci sono prove che siano stati toccati i dati dei clienti conservati altrove. Il gruppo ha messo in vendita il materiale su forum criminali. Cosa contengano quei repository, e se tra il codice ci siano segreti ancora validi, non è noto.
Venti minuti bastano
Le estensioni dell’editor girano con gli stessi permessi dello sviluppatore e si aggiornano da sole, di solito senza che nessuno se ne accorga. Una finestra di pochi minuti è sufficiente per raggiungere migliaia di macchine, compresa quella di chi ha le chiavi di sistemi importanti.
Controlla se sul tuo computer è passata Nx Console 18.95.0 e aggiorna l’estensione. Se c’era, considera il computer compromesso e ruota tutti i token e le chiavi presenti.
Sui computer con accessi privilegiati, valuta di spegnere l’aggiornamento automatico delle estensioni. Usa token di breve durata con permessi minimi, e chiavi protette da hardware per gli accessi più delicati.
