Et angrep mot Coder Registry gjorde det mulig for angripere å distribuere skadelige Terraform-moduler med kode som stjal legitimasjon til en del av brukerne.
Angriperne fikk tilgang til Coders Cloudflare-infrastruktur og la til uautoriserte servere i serverpoolen bak selskapets modulregister. Coder har lansert rettede versjoner og anbefalt potensielt berørte brukere å rotere eksponerte hemmeligheter.
Uautoriserte servere leverte skadelige moduler
Coder opplyste at angrepet var rettet mot registry.coder.com, selskapets pakkevertstjeneste for komponenter til workspace-maler.
Selv om tjenesten opererte bak Cloudflare, fikk angriperne tilgang til den underliggende infrastrukturen. Deretter la de til uautoriserte IP-adresser i registerets serverpool.
Cloudflare dirigerte deretter enkelte forespørsler til de angriperkontrollerte serverne i stedet for til legitim Coder-infrastruktur. Disse systemene leverte modifiserte Terraform-moduler som inneholdt skadelig kode.
Leveringsperioden varte fra 07.35 UTC til 21.45 UTC den 31. august.
Informasjonstyv rettet seg mot utviklingshemmeligheter
De skadelige Terraform-modulene fungerte som informasjonstyver på berørte systemer. De søkte etter provisioner-miljøvariabler, skylegitimasjon og API-nøkler som brukes av AI-verktøy.
Skadevaren rettet seg også mot CI/CD-legitimasjon, hemmeligheter i konfigurasjonsfiler, terminalhistorikk, OIDC-tokener, SSH-nøkler og engangstokener for autentisering.
I tilfeller der provisioner-prosessen kjørte i coderd, kunne den skadelige koden også lete etter passord til Coder-databasen og andre konfigurasjonshemmeligheter. Angriperne sendte de innsamlede dataene til et domene som lignet på det legitime, coder-infra[.]com.
Coder opplyste at refresh tokens ikke ble sendt til provisioner-prosessen. Selskapet fant heller ingen bevis for at kundedata som vedlikeholdes av Coder, ble berørt.
Coder oppfordrer brukere til å oppdatere og rotere hemmeligheter
Coder anbefaler at organisasjoner først gjennomgår brannmur-, proxy-, DNS- og VPC-flytlogger for tilkoblinger til coder-infra[.]com. Team bør også undersøke provisioner-logger etter data.external.telemetry.
Brukere bør identifisere moduler som ble lastet ned i eksponeringsperioden, og fjerne potensielt skadelige bufrede pakker. Deretter bør de rotere all legitimasjon og alle hemmeligheter som potensielt kan ha blitt eksponert.
Coder har lansert de rettede versjonene 2.37.0, 2.36.4, 2.35.7 og 2.34.9. Selskapet har også levert en SQL-spørring for å hjelpe brukere med å identifisere berørte bufrede moduler og malversjoner.
Coder advarte imidlertid om at selskapet ikke med sikkerhet kan identifisere alle berørte installasjoner fordi den angriperkontrollerte infrastrukturen ligger utenfor dets kontroll.
0 responses to “Coder Registry-angrep sprer skadelige moduler”