Tin tặc xâm nhập hàng chục tổ chức bằng cách sử dụng OAuth token bị đánh cắp

Thứ Sáu vừa qua, GitHub cho biết đã phát hiện dấu hiệu cho thấy một kẻ tấn công đã lợi dụng mã xác thực OAuth token bị đánh cắp để tải xuống trái phép dữ liệu bí mật từ một số tổ chức.

Trong một báo cáo, Mike Hanley của GitHub cho biết "kẻ tấn công đã lạm dụng mã OAuth token bị đánh cắp được cấp cho hai dịch vụ xác thực bên thứ ba, Heroku và Travis-CI, để tải xuống dữ liệu từ hàng chục tổ chức, bao gồm cả NPM".

Mã OAuth token thường được các ứng dụng và dịch vụ sử dụng để cho phép truy cập vào các nhóm dữ liệu cụ thể của người dùng mà không cần sử dụng thông tin xác thực. Đây là một trong những phương pháp phổ biến nhất được sử dụng để cấp quyền cho một dịch vụ đăng nhập một lần (SSO) trên một ứng dụng khác.

Cho đến ngày 15 tháng 4 năm 2022, danh sách các ứng dụng OAuth bị ảnh hưởng được phát hiện bao gồm:

- Heroku Dashboard (ID: 145909)

- Heroku Dashboard (ID: 628778)

- Heroku Dashboard – Preview (ID: 313468)

- Heroku Dashboard – Classic (ID: 363831), and

- Travis CI (ID: 9216)

GitHub cho biết token dùng để xác thực không được lấy cắp thông qua vi phạm GitHub hoặc hệ thống của họ vì họ không lưu trữ token ở định dạng ban đầu.

Các tác nhân đe dọa có thể đang phân tích nội dung dữ liệu đã tải xuống để thu thập các thông tin bổ sung, sau đó sử dụng chúng để tấn công vào các phần khác trong cơ sở hạ tầng của các tổ chức.

NPM đã tìm thấy bằng chứng ban đầu của chiến dịch tấn công vào ngày 12 tháng 4 khi phát hiện một truy cập trái phép vào dịch vụ NPM bằng cách sử dụng khóa AWS API bị xâm phạm.

Khóa AWS API này được cho là có được bằng cách tải xuống một tập các kho lưu trữ (repositories) NPM bằng cách sử dụng mã OAuth token bị đánh cắp từ một trong hai ứng dụng bị ảnh hưởng. Sau khi sự việc được phát hiện, GitHub đã thu hồi tất cả các token được liên kết với các ứng dụng bị ảnh hưởng.

Công ty cho biết "kẻ tấn công hiện chưa sửa đổi bất kỳ package hoặc giành được quyền truy cập vào dữ liệu người dùng hay thông tin đăng nhập nào" và họ đang điều tra để xác định xem kẻ tấn công đã xem hoặc tải xuống các package bí mật hay chưa.

Heroku xác nhận đã thu hồi các access token đồng thời cho biết "cho đến khi có thông báo mới, chúng tôi sẽ không phát hành mã Oauth token từ Heroku Dashboard để ngăn chặn việc truy cập trái phép vào các kho lưu trữ GitHub."

GitHub cũng đang tiếp tục điều tra để xác định và thông báo cho tất cả người dùng và tổ chức có thể bị ảnh hưởng bởi sự cố này.

Nguồn: thehackernews.com.