GitHub сообщил о компрометации рабочего устройства сотрудника из-за вредоносного расширения Visual Studio Code, опубликованного сторонним разработчиком.
Инцидент произошел в понедельник, 18 мая. Компания быстро удалила зараженную версию расширения из Marketplace, изолировала скомпрометированное устройство и запустила процедуру реагирования на инцидент.
По текущей оценке GitHub, злоумышленник получил доступ только к внутренним репозиториям компании. Его заявление о компрометации около 3 800 репозиториев GitHub «в целом соответствует» результатам внутреннего расследования.
Компания утверждает, что нет признаков воздействия на данные клиентов, которые хранятся вне внутренних репозиториев GitHub, включая корпоративные аккаунты, организации и пользовательские репозитории. При этом часть внутренних репозиториев содержит клиентскую информацию, например фрагменты обращений в поддержку. Если будет выявлено влияние на клиентов, GitHub обещает уведомить их через существующие каналы оповещения об инцидентах.
Для снижения рисков GitHub в понедельник и во вторник провел ротацию критически важных секретов, в первую очередь — наиболее чувствительных учетных данных. Компания продолжает анализировать журналы событий, проверять корректность ротации и отслеживать инфраструктуру на предмет возможной последующей активности. GitHub заявляет, что готов предпринять дополнительные шаги по мере развития расследования и по итогам пообещал опубликовать расширенный отчет.
За безопасность в компании отвечает Алекcис Уэйлс, директор по информационной безопасности GitHub. Она возглавляет команду специалистов, которая защищает платформу, продукты и открытую экосистему, помогая более чем 150 млн разработчиков безопасно создавать и разворачивать программное обеспечение на GitHub.
Алексис имеет около 20 лет опыта защиты критически важных сетей госсектора и бизнеса, включая работу в Министерстве обороны США и Агентстве по кибербезопасности и инфраструктурной безопасности (CISA) Министерства внутренней безопасности. Этот опыт усилил ее интерес к взаимодействию государства и коммерческих компаний для решения наиболее острых задач в области кибербезопасности.
Параллельно GitHub развивает практики безопасности, в том числе:
- обновляет стандарты программы bug bounty, чтобы повысить качество отчетов, точнее определить зоны ответственности и изменить подход к вознаграждению за находки с низким уровнем риска;
- делится опытом, как верифицировать, исправлять и расследовать критические уязвимости за считанные часы без признаков эксплуатации;
- предлагает бесплатную открытый тренировочный проект с пятью пошаговыми заданиями по поиску и эксплуатации уязвимостей агентных ИИ-систем, который уже использовали более 10 000 разработчиков для отработки навыков защиты.
По данным GitHub.
