Mai 5, 2024
Artikel Internet-Sicherheit Technologie

Malware-Angriff auf den Laptop des CircleCI-Ingenieurs

Die DevOps-Plattform CircleCI gab bekannt, dass nicht identifizierte Bedrohungsakteure den Laptop eines Mitarbeiters kompromittiert und Malware genutzt haben, um ihre durch Zwei-Faktor-Authentifizierung unterstützten Anmeldeinformationen zu stehlen, um die Systeme und Daten des Unternehmens im vergangenen Monat zu verletzen.

Der ausgeklügelte Angriff fand Mitte Dezember 2022 statt und dass die Malware von seiner Antivirensoftware unentdeckt blieb, führte zu einem Malware-Angriff auf den Laptop eines Ingenieurs von CircleCI.

Die Malware war in der Lage, Session-Cookies zu stehlen, was es ihnen ermöglichte, sich als der betroffene Mitarbeiter an einem entfernten Standort auszugeben und dann den Zugriff auf eine Teilmenge unserer Produktionssysteme zu eskalieren.

Die Analyse der Sicherheitslücke ergab, dass der nicht autorisierte Drittanbieter Daten aus einer Teilmenge seiner Datenbanken gestohlen und die erhöhten Berechtigungen missbraucht hat, die dem betroffenen Mitarbeiter gewährt wurden. Dazu gehören Kundenumgebungsvariablen, Token und Schlüssel.

Bildquelle <a href="/de_de/httpswwwgooglecomimgresimgurl=https3A2F2Fmmsbusinesswirecom2Fmedia2F202211160057752Fen2F8216622F232Fcircle/" logo horizontal black 252812529jpgimgrefurl="https3A2F2Fwwwbusinesswirecom2Fnews2Fhome2F202211160057752Fen2FCircleCI" achieves significant growth puts big bet on collective intelligencetbnid="7hOuE6dwQPKmgMvet=12ahUKEwi2ipa76sn8AhUJKbcAHTemDNoQMygAegUIARDzAQidocid=r0B9gHPGL9aP0Mw=1200h=627q=circleciclient=ms" android samsung gj rev1ved="2ahUKEwi2ipa76sn8AhUJKbcAHTemDNoQMygAegUIARDzAQ" target= "blank" rel="noopener" nofollow title="Geschäft" wire>Geschäftsdraht<a>


Der Bedrohungsakteur soll am 19. Dezember 2022 an Aufklärungsaktivitäten teilgenommen und am 22. Dezember 2022 den Schritt der Datenexfiltration durchgeführt haben.

Die Entwicklung kommt etwas zu Ende, nachdem CircleCI seine Kunden aufgefordert hat, alle ihre Geheimnisse zu rotieren.

Alle exfiltrierten Daten wurden im Ruhezustand verschlüsselt, und die Drittanbieter extrahierten Verschlüsselungsschlüssel aus einem laufenden Prozess, die es ihnen ermöglichen, potenziell auf die verschlüsselten Daten zuzugreifen.

Als er erfuhr, dass das OAuth-Token des Kunden kompromittiert war, unternahm er proaktiv den Schritt, alle GitHub-OAuth-Token zu rotieren. Es arbeitete mit Atlassian zusammen, um alle Bitbucket-Token zu rotieren . Es widerrief Projekt-API-Token und persönliche API-Token und benachrichtigte Kunden über potenziell betroffene AWS-Token.

Es schränkt auch den Zugriff auf die Produktionsumgebung ein. Es hat mehr Authentifizierungsleitplanken integriert, um unrechtmäßigen Zugriff zu verhindern, selbst wenn die Anmeldeinformationen gestohlen werden.

Darüber hinaus ist geplant, eine regelmäßige automatische OAuth-Token-Rotation für alle Kunden zu initiieren, um solche Angriffe in Zukunft abzuwehren, und außerdem Optionen für Benutzer einzuführen, um „die neuesten und fortschrittlichsten verfügbaren Sicherheitsfunktionen zu übernehmen.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

de_DEDeutsch