GitHub dijo el martes que está investigando el acceso no autorizado a sus repositorios internos después de que el notorio actor de amenazas conocido como TeamPCP pusiera a la venta el código fuente de la plataforma y las organizaciones internas en un foro sobre delitos cibernéticos.
«Si bien actualmente no tenemos evidencia de impacto en la información de los clientes almacenada fuera de los repositorios internos de GitHub (como las empresas, organizaciones y repositorios de nuestros clientes), estamos monitoreando de cerca nuestra infraestructura para la actividad de seguimiento», dijo la subsidiaria propiedad de Microsoft. dicho.
La compañía también señaló que notificará a los clientes a través de los canales de notificación y respuesta a incidentes establecidos si se descubre algún impacto.
El desarrollo se produce después de que TeamPCP, un actor de amenazas detrás de una serie de ataques a la cadena de suministro de software dirigidos a paquetes de código abierto, pusiera a la venta el código fuente de GitHub por un precio inicial de no menos de 50.000 dólares. Se dice que el supuesto volcado de datos incluye alrededor de 4.000 repositorios.
«Como siempre, esto no es un rescate», dijo el grupo en una publicación. según capturas de pantalla compartido por Dark Web Informer. «No nos importa extorsionar a GitHub, 1 comprador y trituramos los datos por nuestra parte, parece que nuestro retiro es pronto, así que si no se encuentra ningún comprador, los filtramos de forma gratuita».
TeamPCP compromete el paquete PyPI durabletask
La noticia de la venta llega mientras la campaña de malware autorreplicante de TeamPCP, conocida como Mini Shai-Hulud, continúa expandiéndose en alcance con el compromiso de durabletask, un cliente oficial de Microsoft Python para el marco de ejecución de flujo de trabajo Durable Task. Se han identificado tres versiones de paquetes maliciosos: 1.4.1, 1.4.2 y 1.4.3.
«El atacante comprometió una cuenta de GitHub a través de un ataque anterior, descargó secretos de GitHub de un repositorio al que el usuario tenía acceso y desde allí tuvo acceso al token PyPi para publicarlo directamente», Wiz, propiedad de Google. dicho.
La carga útil incorporada en el paquete es un cuentagotas, que está configurado para buscar y ejecutar una carga útil de segunda etapa («rope.pyz») desde un servidor externo («check.git-service»).[.]com»). Se considera que el malware es una evolución de la carga útil implementada en relación con el compromiso del paquete guardrails-ai la semana pasada.
Específicamente, está diseñado para activar un ladrón de información con todas las funciones que es capaz de recopilar credenciales asociadas con los principales proveedores de nube, administradores de contraseñas y herramientas de desarrollo, y exfiltrar los datos al dominio controlado por el atacante. Vale la pena señalar que el ladrón está configurado para ejecutarse sólo en sistemas Linux.
De acuerdo a SeguridadDepel ladrón de Python de 28 KB también intenta leer los secretos de HashiCorp Vault KV, desbloquear y volcar las bóvedas de contraseñas de 1Password y Bitwarden, y acceder a claves SSH, credenciales de Docker, configuraciones de VPN e historial de shell.
«Si la máquina se ejecuta dentro de AWS, se propaga a otras instancias EC2 mediante SSM. Si está dentro de Kubernetes, se propaga a través de kubectl exec», Aikido Security dicho. «Y si detecta configuraciones del sistema israelí o iraní, hay una posibilidad entre 6 de que reproduzca audio y luego ejecute rm -rf /*».
«Después de enumerar las instancias administradas por SSM, utiliza SendCommand con el documento AWS-RunShellScript para ejecutar la carga útil rope.pyz en hasta otras 5 instancias EC2 por perfil», según PasoSeguridad. «El script de propagación descarga la carga útil del C2 primario y vuelve al dominio secundario tm-kosche[.]com y lo ejecuta en segundo plano».
También es notable el uso del mecanismo FIRESCALE para identificar una dirección de comando y control (C2) de respaldo en caso de que no se pueda acceder al dominio principal. Para ello, busca en los mensajes de confirmación públicos de GitHub el patrón «FIRESCALE
Debido a que el gusano se propaga utilizando tokens robados de entornos infectados, se espera que aumente el número de paquetes afectados. Cualquier máquina o canalización que haya instalado una versión afectada del paquete debe tratarse como totalmente comprometida.
«El paquete se descarga aproximadamente 417.000 veces al mes y el código malicioso se ejecuta automáticamente en el momento en que se importa el paquete, sin mensajes de error ni signos visibles de compromiso», dijo el investigador de Endor Labs, Peyton Kennedy. dicho.
