Атака Shai-Hulud затронула CrowdSec: похищены 170 приватных репозиториев GitHub

Компания CrowdSec, специализирующаяся на кибербезопасности, стала жертвой атаки на цепочку поставок, в результате которой злоумышленники похитили 170 приватных репозиториев GitHub. Инцидент связан с кампанией Shai-Hulud — серией атак на экосистему npm, нацеленных на кражу токенов доступа и конфиденциальных данных разработчиков.

Подробности

По данным Dark Reading, злоумышленники получили доступ к приватным репозиториям CrowdSec, используя OAuth-токен, похищенный с компьютера бывшего сотрудника компании. Токен был скомпрометирован в ходе атаки на цепочку поставок npm-пакетов TanStack — популярного набора библиотек для работы с данными и таблицами в веб-приложениях. Кампания Shai-Hulud (названная в честь песчаного червя из вселенной «Дюны») представляет собой серию скоординированных атак на npm-экосистему. Злоумышленники внедряют вредоносный код в популярные пакеты или их зависимости, после чего получают доступ к токенам, ключам API и другим секретам разработчиков. Похищенные учетные данные затем используются для проникновения в приватные репозитории и инфраструктуру жертв. В случае с CrowdSec атака на TanStack позволила злоумышленникам скомпрометировать токен, который оставался действительным даже после увольнения сотрудника. Это подчеркивает критическую важность своевременного отзыва токенов и ключей доступа при изменении статуса сотрудников. На данный момент нет информации о присвоении инциденту идентификатора CVE, поскольку атака затрагивает не конкретную уязвимость в программном обеспечении, а компрометацию учетных данных через цепочку поставок. Масштаб кампании Shai-Hulud продолжает уточняться — известно, что под удар попали несколько организаций, использующих npm-пакеты.

Что делать

Специалисты по безопасности рекомендуют следующие меры защиты: 1. **Проведите аудит токенов и ключей доступа.** Особенно тех, что были выданы бывшим сотрудникам или подрядчикам. Немедленно отзовите все неактивные и устаревшие токены. 2. **Внедрите ротацию секретов.** OAuth-токены, ключи API и другие учетные данные должны регулярно обновляться. Используйте короткоживущие токены там, где это возможно. 3. **Ограничьте область действия токенов.** Предоставляйте минимально необходимые права доступа (принцип наименьших привилегий). Токен для CI/CD не должен иметь доступ ко всем приватным репозиториям. 4. **Проверьте зависимости npm.** Убедитесь, что используемые пакеты не содержат вредоносного кода. Используйте инструменты сканирования цепочки поставок и SCA-решения. 5. **Включите MFA для GitHub и других критичных сервисов.** Это усложнит использование похищенных токенов злоумышленниками. 6. **Мониторьте активность в репозиториях.** Настройте оповещения о подозрительных действиях: массовом клонировании, изменении прав доступа, необычных коммитах. 7. **Проведите проверку на предмет утечки данных.** Если ваши токены могли быть скомпрометированы в рамках кампании Shai-Hulud, оцените, какие данные могли быть похищены, и уведомите затронутых пользователей. Инцидент с CrowdSec служит напоминанием о том, что безопасность цепочки поставок — это не только проверка кода зависимостей, но и управление жизненным циклом учетных данных. Компрометация одного токена может открыть доступ к сотням приватных репозиториев и нанести значительный ущерб. Регулярный аудит секретов и их своевременный отзыв — обязательная практика для любой организации, работающей с облачными сервисами и открытым исходным кодом.

Источник: Dark Reading