SỰ CỐ AN NINH CHUỖI CUNG ỨNG

GitHub xác nhận đang điều tra vụ việc nhóm hacker TeamPCP rao bán hơn 3.800 kho mã nguồn nội bộ sau khi xâm nhập thiết bị của một nhân viên thông qua extension Visual Studio Code bị đầu độc. Sự cố này cũng dẫn đến một cuộc tấn công chuỗi cung ứng quy mô lớn nhắm vào các gói thư viện Python (PyPI).

Chi tiết vụ rò rỉ mã nguồn GitHub

Nhóm hacker TeamPCP (sau đó có sự tham gia của LAPSUS$) đã rao bán dữ liệu với giá từ 50.000 đến 95.000 USD. GitHub cho biết vụ việc xuất phát từ một máy tính của nhân viên bị nhiễm mã độc thông qua một extension VS Code bị thao túng, cho phép hacker trích xuất các kho chứa nội bộ quan trọng.

Dữ liệu bị rò rỉ bao gồm:

Dự án nội bộ GitHub Copilot
Công cụ bảo mật CodeQL
Cấu trúc GitHub Actions
Codespaces và Dependabot

Phạm vi ảnh hưởng:

3.800+ kho mã nguồn nội bộ
Mã nguồn nền tảng chính
Quản lý Pull Requests
Cấu hình hạ tầng bảo mật

Tấn công chuỗi cung ứng qua Worm 'Mini Shai-Hulud'

Song song với vụ việc GitHub, TeamPCP đã chiếm quyền điều khiển gói durabletask trên PyPI (thư viện của Microsoft). Mã độc tự nhân bản có tên 'Mini Shai-Hulud' đã được nhúng vào các phiên bản 1.4.1, 1.4.2 và 1.4.3.

Cơ chế hoạt động của mã độc:
- Tự nhân bản và lây lan qua AWS SSM và Kubernetes (kubectl exec).
- Đánh cắp thông tin từ 1Password, Bitwarden, HashiCorp Vault.
- Trích xuất SSH keys, cấu hình VPN và lịch sử shell.
- Sử dụng cơ chế FIRESCALE để nhận lệnh từ máy chủ C2 thông qua commit công khai trên GitHub.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP:

Gỡ bỏ ngay lập tức gói durabletask phiên bản 1.4.1, 1.4.2, 1.4.3 nếu đang sử dụng.
Kiểm soát chặt chẽ và chỉ cho phép sử dụng các extension VS Code đã được phê duyệt.
Thu hồi và thay đổi toàn bộ Secrets, API Tokens và Credentials trên các hệ thống liên quan.
Giám sát các hoạt động bất thường liên quan đến dịch vụ AWS SSM và các tiến trình kubectl.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

GitHub bị tấn công: Hacker chiếm đoạt hơn 3.800 kho mã nguồn nội bộ