Инфраструктура реестра Coder была взломана для распространения вредоносных модулей.

[admin]

Злоумышленники взломали инфраструктуру Cloudflare компании Coder и добавили несанкционированные серверы реестра, которые доставляли вредоносные модули Terraform, содержащие код для кражи учетных данных.

Платформа Coder позволяет организациям предоставлять разработчикам безопасные, самостоятельно размещаемые облачные среды разработки для создания и развертывания программного обеспечения, включая приложения искусственного интеллекта.

Проект используется ведущими частными и государственными организациями, включая Dropbox, Palantir, Square, Mercedes-Benz, KKR, EnBW, правительство США и оборонные компании.

Ранее на этой неделе Coder сообщил, что злоумышленник атаковал registry.coder.com, сайт проекта, на котором разработчики размещают пакеты для получения компонентов для своих шаблонов рабочих областей.

Несмотря на то, что реестр Coder работает за Cloudflare, злоумышленник получил доступ к его базовой инфраструктуре и добавил неавторизованные серверы в пул реестра.

В результате Cloudflare перенаправляла часть запросов к реестру на серверы злоумышленника, а не на легитимные серверы Coder, доставляя вредоносные файлы части пользователей.

«Неизвестный злоумышленник получил доступ к инфраструктуре Cloudflare компании Coder и добавил несанкционированные IP-адреса в пул, используемый для регистрации модулей Coder», — говорится в сообщении компании Coder .

«На этих несанкционированных IP-адресах размещалась версия реестра Coder, содержащая артефакты, в том числе вредоносный код».

В рамках проекта было заявлено, что период доставки вредоносных артефактов пришелся на 31 августа, с 07:35 до 21:45 UTC.

В этот период вредоносные серверы распространяли модифицированные версии модулей Terraform, представляющих собой готовые наборы инструкций для создания и настройки вычислительной инфраструктуры.

По данным Coder, вредоносные модули действовали как похитители информации на зараженных хостах, осуществляя поиск:

Переменные среды и секреты поставщика услуг.
Ключи API для облачной инфраструктуры и инструментов искусственного интеллекта
Учетные данные CI/CD
Секреты конфигурационного файла и история терминала
Пользовательские токены OIDC
Настроенные SSH-ключи
Одноразовые внешние токены аутентификации
Пароли к базе данных Coder и другие секретные данные конфигурации, когда средство подготовки ресурсов работало в среде 'coderd'.
Собранная информация была передана на похожий домен 'coder-infra[.]com'.

Рекомендуется, чтобы потенциально затронутые пользователи как можно скорее заменили все затронутые секреты, упомянутые в приведенном выше списке.

Перед обновлением до исправленных версий 2.37.0, 2.36.4, 2.35.7 и 2.34.9 компания Coder рекомендует пользователям проверить журналы потоков брандмауэра, прокси-сервера, DNS и VPC на предмет подключений к coder-infra[.]com.

Разработчикам также следует просмотреть журналы поставщика услуг на наличие данных data.external.telemetry, определить модули, загруженные в течение периода воздействия, и удалить потенциально вредоносные кэшированные пакеты.

Чтобы помочь пользователям определить, затронула ли их проблема, Coder поделился SQL-запросом , который может выявить потенциально затронутые кэшированные модули и версии шаблонов.

В проекте заявили, что токены обновления не передавались поставщику услуг и что нет никаких доказательств какого-либо влияния на хранящиеся у него данные клиентов.

Однако, поскольку инфраструктура злоумышленника находится вне контроля проекта, Coder не имеет доступа к важным журналам и не может однозначно идентифицировать каждое скомпрометированное развертывание.

Источник