Vazamento de código-fonte da CrowdSec

Vazamento de código-fonte da CrowdSec

A CrowdSec divulgou detalhes de um incidente no qual invasores obtiveram acesso aos seus repositórios privados do GitHub. A empresa acredita que o comprometimento estava ligado ao ataque à cadeia de suprimentos do TanStack em maio, quando versões maliciosas de dezenas de pacotes foram publicadas no npm.

Em 11 de maio, um invasor comprometeu o processo de publicação do TanStack Router/Start e lançou 84 versões maliciosas de 42 pacotes npm. O payload incorporado coletou credenciais da AWS, GCP, Kubernetes, Vault, GitHub, npm e SSH e era capaz de se propagar por pacotes mantidos pelas vítimas. A TanStack detectou o ataque cerca de 20 a 26 minutos depois e logo descontinuou todas as versões afetadas.

Segundo a CrowdSec, uma das vítimas era um ex-funcionário. Seu acesso ao GitHub foi mantido temporariamente após ele deixar a empresa para que pudesse concluir trabalhos em várias tarefas. Em 22 de maio, sua conta foi usada para baixar aproximadamente 170 repositórios privados da CrowdSec. O acesso foi revogado em 25 de maio.

A CrowdSec só tomou conhecimento do vazamento em 16 de setembro, quando um arquivo contendo seu código-fonte apareceu em um fórum de hackers. A investigação descobriu que o invasor havia usado um token OAuth do GitHub. O GitHub ajudou a CrowdSec a reconstruir o ciclo de vida do token e rastrear os downloads dos repositórios até a conta do ex-funcionário. Segundo a CrowdSec, a investigação do GitHub também apoiou as suspeitas da empresa sobre uma conexão com o ataque à TanStack.

Segundo a CrowdSec, o impacto foi amplamente limitado à exposição do código-fonte: • A infraestrutura e os bancos de dados da AWS não foram comprometidos; • código-fonte, pipelines de CI/CD e produtos lançados não foram modificados; • os segredos expostos incluíam um token válido da AWS para SNS, mas suas permissões eram restritas à publicação em um único tópico SNS; • o arquivo vazado continha os endereços de e-mail de 83 usuários e informações sobre 51 investidores em potencial desde 2020.

Em agosto, alguém testou as permissões do token da AWS exposto chamando GetCallerIdentity e ListTopics. No entanto, suas permissões mínimas impediram que o acesso fosse expandido ainda mais. A CrowdSec também não encontrou evidências de que quaisquer repositórios tenham sido modificados ou que a conta comprometida tenha sido usada para qualquer coisa além de clonar código-fonte.