Le hacker revendique environ 3 800 référentiels, selon l'équipe GitHub.
Dark Web Informer : L'attaquant propose le matériel pour plus de 50 000 USD et menace de le divulguer.
GitHub a confirmé avoir contenu une faille de sécurité dans ses référentiels internes le 19 mai. L'entreprise a retracé l'origine de l'incident à une extension malveillante VS Code installée sur l'ordinateur d'un employé.
« Notre évaluation actuelle est que l'activité impliquait uniquement l'exfiltration des référentiels internes de GitHub », a déclaré la société dans un fil de discussion publié le 20 mai. Le pirate informatique affirme avoir volé environ 3 800 référentiels.
La société a affirmé n'avoir aucune preuve d'impact sur les données clients stockées en dehors de ses référentiels internes (y compris les entreprises, les organisations et les référentiels clients), tout en précisant que l'enquête se poursuivait.
L'extension malveillante correspondait à VS Code, un éditeur de code populaire développé par Microsoft. Les extensions sont des modules complémentaires que les programmeurs installent pour étendre leurs fonctionnalités et fonctionnent avec les mêmes autorisations dont dispose le développeur sur les systèmes auxquels ils accèdent, ce qui en fait un vecteur d'attaque à fort impact : une version compromise peut intercepter les informations d'identification, les jetons d'authentification ou le code source sans que l'utilisateur ne le détecte.
GitHub a également lancé le rotation des qualifications critiques les 19 et 20 mai. La rotation des informations d'identification est le processus par lequel une organisation invalide et remplace les clés, jetons et mots de passe qui donnent accès à ses systèmes, dans le but de couper l'accès à un attaquant qui aurait pu les obtenir.
Cependant, dans la déclaration, ils ont indiqué que « nous continuons à analyser les dossiers, à valider la rotation des informations d'identification et à surveiller toute activité ultérieure ». Depuis GitHub, ils ont promis de publier un rapport plus complet une fois l'enquête terminée, sans fixer de délai.
GitHub héberge les référentiels publics de Bitcoin, ainsi que ceux d'Ethereum, Solana et la plupart des protocoles de cryptoactifs. Si l'évaluation de GitHub est correcte et que l'exfiltration s'est limitée aux référentiels internes de l'entreprise, le code source de ces projets n'aurait pas été affecté.
L'attaquant et les chiffres de la brèche GitHub
L'attaquant a été identifié comme « TeamPCP » et a publié un proposer de vendre le matériel pour plus de 50 000 USD dans des forums clandestins, selon ce qui a été rapporté par la société d'analyse Dark Web Informer.
Le pirate informatique, selon Dark Web Informer, a déclaré que Il ne s'agit pas d'une attaque de ransomware et cela entraînerait une fuite du matériel publiquement s'il ne trouvait pas acheteur.
La société VECERT Analyzer a noté que les noms de fichiers dans la liste publiée par l'attaquant correspondent étroitement à l'architecture interne réelle de GitHub, y compris des packages tels que github-copilot.tar.gz, red-team.tar.gz et github-security-risk-reporting.tar.gz. La firme a précisé que son analyse reposait sur des captures d'écran, sans vérification indépendante du contenu des fichiers.
Bien que l’utilisation de l’intelligence artificielle (IA) par l’attaquant n’ait pas été confirmée, l’incident s’inscrit dans une tendance croissante de piratage de l’IA. Comme le rapporte CriptoNoticias, Charles Guillemet, directeur technologique de la société de sécurité Ledger, a déclaré que « la barrière à l'entrée pour les attaquants s'effondre. Demander à un modèle de langage d'analyser les différences de sécurité entre deux versions d'un binaire et de générer un exploit est plus rapide, moins cher et beaucoup plus efficace qu'auparavant. »
Ainsi, l’attaque sur GitHub qui démarre avec une extension d’un éditeur de code (un outil quotidien dans tout workflow de développement) illustre comment cette réduction des barrières élargit la surface de risque vers des environnements plus intégrés au travail quotidien des équipes techniques.