GitHub подтвердил утечку данных — около 3800 внутренних репозиториев скомпрометированы из-за того, что один из сотрудников установил вредоносное VS Code расширение. Компания уже удалила троянизированное расширение из магазина и изолировала заражённое устройство.
«Вчера мы обнаружили и локализовали компрометацию устройства сотрудника через отравленное VS Code расширение. Мы удалили вредоносную версию, изолировали точку входа и сразу запустили процесс реагирования на инцидент, — заявили в GitHub. — На текущий момент атака затронула только внутренние репозитории GitHub. Заявление атакующего о примерно 3800 репозиториях в целом совпадает с нашими данными».
Ранее во вторник GitHub сообщил BleepingComputer, что проверяет сообщения о несанкционированном доступе, но признаков утечки данных клиентов за пределами скомпрометированных репозиториев пока не обнаружено.
Хотя GitHub пока не назвал злоумышленников, группа TeamPCP уже взяла на себя ответственность на форуме Breached, заявив о доступе к исходникам GitHub и «примерно 4000 приватных репозиториев». Хакеры просят минимум $50 000 за украденные данные. «Это не выкуп. Нам не нужен шантаж GitHub. Один покупатель — и мы уничтожаем данные. Если покупатель не найдётся, сольём бесплатно», — написали они.
TeamPCP уже была замечена в масштабных атаках на цепочки поставок через GitHub, PyPI, NPM и Docker, а недавно — в кампании «Mini Shai-Hulud», которая затронула даже двух сотрудников OpenAI.
VS Code расширения — это плагины из магазина Microsoft, которые добавляют функции в редактор кода. Такие инциденты уже не новость: за последние несколько лет на маркете находили десятки вредоносных расширений. В прошлом году удалили расширения с 9 миллионами установок, а ещё 10 маскировались под легитимные инструменты и ставили майнер XMRig. Позже появилось расширение с возможностями шифровальщика, а в январе два AI-расширения с 1,5 млн установок отправляли данные на серверы в Китай.
GitHub теперь используют более 4 миллионов организаций (включая 90% списка Fortune 100) и свыше 180 миллионов разработчиков, которые работают с 420 миллионами репозиториев.