Github-chaos: cyberkriminelle infiltrieren software-lieferketten weltweit!

Ein Schock für die Tech-Welt: Eine massive Sicherheitslücke bei GitHub wurde von Cyberkriminellen ausgenutzt, um in kürzester Zeit eine weitverbreitete Malware-Kampagne, genannt Megalodon, zu starten. Die Folgen sind verheerend, da die Plattform von schätzungsweise 180 Millionen Entwicklern und vier Millionen Organisationen weltweit genutzt wird – darunter 90% der Unternehmen im renommierten Fortune 100-Verzeichnis.

Die geschwindigkeit des angriffs: ein albtraum für sicherheitsteams

Was diesen Vorfall so beängstigend macht, ist die blitzschnelle Ausführung. Innerhalb von nur sechs Stunden gelang es den Angreifern, über 5.700 Code-Änderungen (Commits) in insgesamt 5.561 unabhängige Repositories einzuschleusen. Die automatisierten Verteidigungssysteme waren schlichtweg überfordert, was den Hackern einen ungehinderten Zugang ermöglichte. Anstatt einzelne Entwicklercomputer zu kompromittieren, zielten sie auf die automatisierten Systeme ab, die Unternehmen für die Vorbereitung, das Testen und das Hochladen ihrer Anwendungen nutzen.

Täuschend echte tarnung: falsche konten und wartungsroboter

Die Taktik der Angreifer war raffiniert. Sie nutzten gefälschte Konten mit zufälligen Namen und glichen den automatisierten Wartungsrobotern, die Unternehmen selbst konfigurieren. Für jeden, der den Commit-Verlauf überprüfte, schien es sich um ein normalesUpdate ohne erkennbare Probleme zu handeln. Doch hinter dieser Fassade verbarg sich eine ernsthafte Bedrohung.

Sysdiag und optimize-build: die fallen der angreifer

Megalodon verfügte über zwei ausgeklügelte Mechanismen, um den Angriff zu perfektionieren. SysDiag war eine Variante, die den bösartigen Code automatisch ausführte, sobald eine Änderung in das Projekt hochgeladen wurde. Noch gefährlicher war Optimize-Build, das Aufgaben heimlich durch eine schlafende Befehlszeile ersetzte. Dies ermöglichte es den Angreifern, den Hack jederzeit aus der Ferne zu aktivieren.

Tiledesk im visier: ein dominoeffekt

Das Ziel der Angreifer war die Plattform Tiledesk, ein Live-Chat-System, das von zahlreichen Webseiten genutzt wird. Sie schleusten die Optimize-Build-Variante direkt in die Dateien von Tiledesk ein. Der Ersteller der Plattform, ahnungslos, veröffentlichte unwissentlich die infizierten Versionen, wodurch das Problem an alle Nutzer weitergegeben wurde. Die Folgen waren verheerend: Ein vollständiger Datendiebstahl von den Servern der betroffenen Unternehmen.

Gestohlene geheimnisse: aws, google cloud und azure

Die gestohlenen Daten umfassten sensible Informationen wie Amazon Web Services (AWS)-Schlüssel, Google Cloud-Zugangsdaten, Datenbankpasswörter und Azure-Sicherheitsschlüssel. Glücklicherweise wurde SafeDep, ein Sicherheitsunternehmen, durch ein automatisches System auf den versteckten Code in Tiledesk aufmerksam. Die Untersuchung führte zu einem zentralen Server, der von den Hackern unter der Internetadresse 216.126.225.129:8443 kontrolliert wurde. Die Bereinigung des Systems scheint bereits im Gange zu sein.

Teampcp: ein weiterer schlag für github

Parallel zu dem Megalodon-Vorfall hat die Gruppe TeamPCP angeblich 4.000 Repositories mit internem Code aus der GitHub-Infrastruktur gestohlen und auf dem Forum Breached zum Verkauf angeboten. Die geforderte Summe beträgt mindestens 50.000 US-Dollar. Im Gegensatz zum Megalodon-Angriff, der auf die Lieferkette abzielte, scheint TeamPCP auf direkten finanziellen Gewinn aus zu sein. GitHub hat die Untersuchung dieses