Kompromittierung der Coder Registry verbreitet schädliche Module

Eine Kompromittierung der Coder Registry ermöglichte es Angreifern, schädliche Terraform-Module mit Code zum Diebstahl von Zugangsdaten an einen Teil der Nutzer zu verteilen.

Die Angreifer verschafften sich Zugriff auf die Cloudflare-Infrastruktur von Coder und fügten dem Server-Pool hinter der Modul-Registry des Unternehmens nicht autorisierte Server hinzu. Coder hat korrigierte Versionen veröffentlicht und potenziell betroffenen Nutzern empfohlen, möglicherweise offengelegte Geheimnisse zu rotieren.

Nicht autorisierte Server lieferten schädliche Module

Coder erklärte, dass sich der Angriff gegen registry.coder.com richtete, den Paket-Hosting-Dienst des Unternehmens für Komponenten von Workspace-Vorlagen.

Obwohl der Dienst hinter Cloudflare betrieben wurde, verschafften sich die Angreifer Zugriff auf die zugrunde liegende Infrastruktur. Anschließend fügten sie dem Server-Pool der Registry nicht autorisierte IP-Adressen hinzu.

Cloudflare leitete daraufhin einige Anfragen an die von den Angreifern kontrollierten Server statt an die legitime Coder-Infrastruktur weiter. Diese Systeme lieferten modifizierte Terraform-Module mit schädlichem Code aus.

Der Zeitraum der Auslieferung erstreckte sich am 31. August von 07:35 UTC bis 21:45 UTC.

Informationsdiebstahl zielte auf Entwicklungsgeheimnisse ab

Die schädlichen Terraform-Module fungierten auf betroffenen Systemen als Informationsdiebe. Sie suchten nach Provisioner-Umgebungsvariablen, Cloud-Zugangsdaten und API-Schlüsseln, die von KI-Tools verwendet werden.

Die Malware zielte außerdem auf CI/CD-Zugangsdaten, Geheimnisse in Konfigurationsdateien, Terminalverläufe, OIDC-Tokens, SSH-Schlüssel und einmalig verwendbare Authentifizierungs-Tokens ab.

In Fällen, in denen der Provisioner innerhalb von coderd ausgeführt wurde, konnte der schädliche Code auch nach Passwörtern für die Coder-Datenbank und anderen Konfigurationsgeheimnissen suchen. Die Angreifer übertrugen die gesammelten Daten an die ähnlich aussehende Domain coder-infra[.]com.

Coder erklärte, dass Refresh-Tokens nicht an den Provisioner weitergegeben wurden. Das Unternehmen fand außerdem keine Hinweise darauf, dass von Coder verwaltete Kundendaten betroffen waren.

Coder fordert Nutzer zu Updates und zur Rotation von Geheimnissen auf

Coder empfiehlt Unternehmen, zunächst Firewall-, Proxy-, DNS- und VPC-Flow-Logs auf Verbindungen zu coder-infra[.]com zu überprüfen. Teams sollten außerdem Provisioner-Logs auf data.external.telemetry untersuchen.

Nutzer sollten Module identifizieren, die während des betroffenen Zeitraums heruntergeladen wurden, und potenziell schädliche zwischengespeicherte Pakete entfernen. Anschließend sollten sie alle möglicherweise offengelegten Zugangsdaten und Geheimnisse rotieren.

Coder hat die korrigierten Versionen 2.37.0, 2.36.4, 2.35.7 und 2.34.9 veröffentlicht. Das Unternehmen stellte außerdem eine SQL-Abfrage bereit, mit der Nutzer betroffene zwischengespeicherte Module und Vorlagenversionen identifizieren können.

Coder warnte jedoch, dass das Unternehmen nicht abschließend feststellen kann, welche Installationen betroffen sind, da sich die von den Angreifern kontrollierte Infrastruktur außerhalb seiner Kontrolle befindet.