Gitlocker Phishing-angrep

I det utviklende landskapet av cybersikkerhetstrusler har en ny Gitlocker-angrepskampanje dukket opp, rettet mot GitHub-lagre. Denne operasjonen involverer ondsinnede aktører som kompromitterer kontoer, sletter innholdet i depotet og krever at ofre kontakter dem via Telegram for ytterligere instruksjoner. Denne artikkelen fordyper seg i detaljene for denne kampanjen, dens modus operandi og anbefalte sikkerhetstiltak for å beskytte mot slike angrep.

Angrepsmodus Operandi

Angripere i Gitlocker-kampanjen er spesifikt rettet mot GitHub-depoter. Når de får tilgang til et depot, fortsetter de med å slette innholdet. Angriperne gir deretter nytt navn til depotet og legger igjen en README.me-fil med en løsepengenota, og instruerer ofrene om å kontakte dem på Telegram.

Stjålet legitimasjon

Trusselaktøren bak denne kampanjen, som opererer under håndtaket Gitloker på Telegram, ser ut til å få tilgang til GitHub-kontoer ved å bruke stjålet legitimasjon. De utgir seg for å være en cyberhendelsesanalytiker, og hevder å ha sikkerhetskopiert de kompromitterte dataene og tilbyr å hjelpe til med å gjenopprette dem. Den fullstendige teksten i løsepengene lyder:
«Jeg håper denne meldingen finner deg godt. Dette er et presserende varsel for å informere deg om at dataene dine har blitt kompromittert, og vi har sikret en sikkerhetskopi.'

Svar og anbefalinger

Etter tidligere angrep har GitHub rådet brukere til å endre passordene sine for å sikre kontoene sine mot uautorisert tilgang. Denne handlingen er avgjørende for å forhindre ondsinnede aktiviteter som tilføyelse av nye SSH-nøkler, godkjenning av nye apper eller endring av teammedlemmer.

Forbedrede sikkerhetstiltak

For å forhindre ytterligere kompromisser og oppdage mistenkelige aktiviteter, oppfordres brukere til å implementere følgende sikkerhetstiltak:

• Aktiver tofaktorautentisering (2FA) : Legger til et ekstra lag med sikkerhet til påloggingsprosessen.
• Legg til en passord : For en sikker, passordløs pålogging.
• Gjennomgå og tilbakekall uautorisert tilgang : Kontroller og administrer SSH-nøkler regelmessig, distribuer nøkler og autoriserte integrasjoner.
• Bekreft e-postadresser : Sørg for at alle tilknyttede e-postadresser er korrekte og sikre.
• Se gjennom kontosikkerhetslogger : Spor endringer i depotet for å identifisere eventuelle uautoriserte endringer.
• Administrer webhooks : Revider og administrer webhooks regelmessig på repositories.

Historisk kontekst av GitHub-kompromisser

Gitlocker-angrepet er ikke en isolert hendelse. GitHub-kontoer har tidligere blitt målrettet og kompromittert, noe som har ført til betydelige datainnbrudd.
Mars 2020 Microsoft Breach : Hackere kompromitterte Microsofts konto og stjal over 500 GB med filer fra private depoter. Mens de stjålne dataene hovedsakelig besto av kodeprøver og testprosjekter, var det bekymringer om eksponeringen av private API-nøkler og passord. Trusselskuespilleren ShinyHunters lekket til slutt dataene gratis etter først å ha planlagt å selge dem.
September 2020 Phishing-kampanje : GitHub-brukere ble målrettet i en phishing-kampanje som involverte falske CircleCI-varsler. Angripere hadde som mål å stjele GitHub-legitimasjon og 2FA-koder via omvendte proxyer. Etter å ha kompromittert kontoer, eksfiltrerte de data og la til nye brukerkontoer for å opprettholde vedvarende tilgang.

Konklusjon

Gitlocker Phishing-angrepet understreker den vedvarende trusselen mot online-depoter og viktigheten av robuste sikkerhetspraksiser. Ved å implementere anbefalte sikkerhetstiltak og være årvåken, kan brukere bedre beskytte GitHub-kontoene sine mot uautorisert tilgang og potensielt tap av data. Ettersom cybertrusler fortsetter å utvikle seg, er det viktig å opprettholde en proaktiv tilnærming til sikkerhet for å sikre verdifulle digitale eiendeler.