GitHub, geçtiğimiz günlerde iç depolarına yönelik bir siber saldırıyı doğruladı. Microsoft'a ait yazılım geliştirme platformu, saldırının bir çalışanın cihazında bulunan ve 'Nx Console' adlı popüler bir Visual Studio Code (VS Code) eklentisinin zehirlenmiş bir sürümü aracılığıyla gerçekleştiğini açıkladı. Olayda, saldırganın 3800 dahili depoya yetkisiz erişim sağladığı belirtildi.
Nx Console, geliştiricilerin Nx çalışma alanı görevlerini, oluşturucularını ve yapılandırmalarını yönetmek için grafiksel bir arayüz sağlayan bir eklentidir. Nx ise büyük kod tabanlarını (monorepo) yönetmek için kullanılan bir geliştirme araç setidir. Nx Console, Visual Studio Marketplace'te 2,2 milyon kurulum sayısına ve doğrulanmış yayıncı rozetine sahiptir. Saldırgan, TanStack npm paketlerine yönelik bir tedarik zinciri saldırısıyla ele geçirdiği bir Nx geliştiricisinin GitHub kimlik bilgilerini kullanarak eklentinin kötü amaçlı bir sürümünü (18.95.0) yükledi.
Zehirlenmiş eklenti, diskte ve bellekte bulunan çeşitli kimlik bilgilerini toplayan gizlenmiş bir yük çalıştırdı. Bu yük; Vault, npm, AWS, GitHub, 1Password ve dosya sistemindeki özel anahtarlar gibi birçok kaynaktan veri topladı. Nx CEO'su Jeff Cross, olayın ardından yayınlama sürecine iki yönetici onayı zorunluluğu getirdiklerini ve güvenlik önlemlerini artırdıklarını belirtti. Kötü amaçlı sürüm, yayınlanmasından 18 dakika sonra kaldırıldı, ancak bu süre zarfında otomatik güncelleme açık olan birçok kullanıcı etkilendi.
Saldırıyı üstlenen TeamPCP hacker grubu, çalınan verileri 95.000 dolara satmaya çalışıyor. Grup, Lapsus$ ile iş birliği yaptığını ve verileri tek alıcıya satacaklarını, alıcı bulunamazsa ücretsiz sızdıracaklarını duyurdu. GitHub, olaya müdahale ettiğini ve kritik sırların döndürüldüğünü açıkladı. Olay, yazılım tedarik zinciri güvenliğinin ne kadar kırılgan olduğunu bir kez daha gözler önüne serdi.
