La plate-forme DevOps CircleCI a r\u00e9v\u00e9l\u00e9 vendredi que des acteurs de la menace non identifi\u00e9s avaient compromis l’ordinateur portable d’un employ\u00e9 et exploit\u00e9 des logiciels malveillants pour voler leurs informations d’identification bas\u00e9es sur l’authentification \u00e0 deux facteurs afin de violer les syst\u00e8mes et les donn\u00e9es de l’entreprise le mois dernier.<\/p>\n
Le service CI\/CD CircleCI a d\u00e9clar\u00e9 que “l’attaque sophistiqu\u00e9e” avait eu lieu le 16 d\u00e9cembre 2022 et que le logiciel malveillant n’avait pas \u00e9t\u00e9 d\u00e9tect\u00e9 par son logiciel antivirus.<\/p>\n
“Le logiciel malveillant a pu ex\u00e9cuter le vol de cookies de session, leur permettant de se faire passer pour l’employ\u00e9 cibl\u00e9 dans un emplacement distant, puis d’augmenter l’acc\u00e8s \u00e0 un sous-ensemble de nos syst\u00e8mes de production”, a d\u00e9clar\u00e9 Rob Zuber, directeur de la technologie de CircleCI, m’a dit<\/a> dans un rapport d’incident.<\/p>\n Une analyse plus approfondie de la faille de s\u00e9curit\u00e9 a r\u00e9v\u00e9l\u00e9 que le tiers non autoris\u00e9 avait vol\u00e9 des donn\u00e9es d’un sous-ensemble de ses bases de donn\u00e9es en abusant des autorisations \u00e9lev\u00e9es accord\u00e9es \u00e0 l’employ\u00e9 cibl\u00e9. Cela comprenait les variables d’environnement client, les jetons et les cl\u00e9s.<\/p>\n On pense que l’acteur mena\u00e7ant s’est engag\u00e9 dans une activit\u00e9 de reconnaissance le 19 d\u00e9cembre 2022, suivie d’une \u00e9tape d’exfiltration de donn\u00e9es le 22 d\u00e9cembre 2022.<\/p>\n “Bien que toutes les donn\u00e9es exfiltr\u00e9es aient \u00e9t\u00e9 crypt\u00e9es au repos, le tiers a extrait les cl\u00e9s de cryptage d’un processus en cours, leur permettant d’acc\u00e9der potentiellement aux donn\u00e9es crypt\u00e9es”, a d\u00e9clar\u00e9 Zuber.<\/p>\n Le d\u00e9veloppement intervient un peu plus d’une semaine apr\u00e8s que CircleCI a exhort\u00e9 ses clients \u00e0 faire pivoter tous leurs secrets, ce qui, selon lui, \u00e9tait n\u00e9cessaire apr\u00e8s avoir \u00e9t\u00e9 alert\u00e9 d’une “activit\u00e9 GitHub OAuth suspecte” par l’un de ses clients le 29 d\u00e9cembre 2022.<\/p>\n Apr\u00e8s avoir appris que le jeton OAuth du client avait \u00e9t\u00e9 compromis, il a pris l’initiative de faire tourner tous les jetons GitHub OAuth de mani\u00e8re proactive, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9, ajoutant qu’elle travaillait avec Atlassian pour faire tourner tous les jetons Bitbucket, a r\u00e9voqu\u00e9 les jetons d’API de projet et les jetons d’API personnels, et a inform\u00e9 les clients. des jetons AWS potentiellement concern\u00e9s.<\/p>\n En plus de limiter l’acc\u00e8s aux environnements de production, CircleCI a d\u00e9clar\u00e9 avoir int\u00e9gr\u00e9 davantage de garde-corps d’authentification pour emp\u00eacher tout acc\u00e8s ill\u00e9gitime m\u00eame si les informations d’identification sont vol\u00e9es.<\/p>\n Il pr\u00e9voit en outre de lancer une rotation automatique p\u00e9riodique des jetons OAuth pour tous les clients afin de dissuader de telles attaques \u00e0 l’avenir, tout en introduisant des options permettant aux utilisateurs d'”adopter les fonctionnalit\u00e9s de s\u00e9curit\u00e9 les plus r\u00e9centes et les plus avanc\u00e9es disponibles”.<\/p>\n <\/p>\n