Coder Registry-intrång sprider skadliga moduler

Ett intrång i Coder Registry gjorde det möjligt för angripare att distribuera skadliga Terraform-moduler med kod för att stjäla autentiseringsuppgifter till en del av användarna.

Angriparna fick åtkomst till Coders Cloudflare-infrastruktur och lade till obehöriga servrar i serverpoolen bakom företagets modulregister. Coder har släppt korrigerade versioner och rekommenderat potentiellt drabbade användare att rotera exponerade hemligheter.

Obehöriga servrar levererade skadliga moduler

Coder uppgav att attacken riktades mot registry.coder.com, företagets pakethostingtjänst för komponenter till workspace-mallar.

Trots att tjänsten kördes bakom Cloudflare fick angriparna åtkomst till den underliggande infrastrukturen. Därefter lade de till obehöriga IP-adresser i registrets serverpool.

Cloudflare dirigerade sedan vissa förfrågningar till de angriparkontrollerade servrarna i stället för till Coders legitima infrastruktur. Dessa system levererade modifierade Terraform-moduler som innehöll skadlig kod.

Leveransperioden pågick från 07.35 UTC till 21.45 UTC den 31 augusti.

Informationsstjälare riktade in sig på utvecklingshemligheter

De skadliga Terraform-modulerna fungerade som informationsstjälare på drabbade system. De sökte efter provisioner-miljövariabler, molnautentiseringsuppgifter och API-nycklar som används av AI-verktyg.

Den skadliga programvaran riktade även in sig på CI/CD-autentiseringsuppgifter, hemligheter i konfigurationsfiler, terminalhistorik, OIDC-token, SSH-nycklar och engångstoken för autentisering.

I fall där provisioner-processen kördes i coderd kunde den skadliga koden även söka efter lösenord till Coders databas och andra konfigurationshemligheter. Angriparna skickade den insamlade informationen till en domän som liknade den legitima, coder-infra[.]com.

Coder uppgav att refresh tokens inte skickades till provisioner-processen. Företaget hittade inte heller några bevis för att kunddata som hanteras av Coder hade påverkats.

Coder uppmanar användare att uppdatera och rotera hemligheter

Coder rekommenderar att organisationer först granskar brandväggs-, proxy-, DNS- och VPC-flödesloggar efter anslutningar till coder-infra[.]com. Team bör även granska provisioner-loggar efter data.external.telemetry.

Användare bör identifiera moduler som laddades ner under exponeringsperioden och ta bort potentiellt skadliga cachade paket. Därefter bör de rotera alla autentiseringsuppgifter och hemligheter som kan ha exponerats.

Coder har släppt de korrigerade versionerna 2.37.0, 2.36.4, 2.35.7 och 2.34.9. Företaget har även tillhandahållit en SQL-fråga för att hjälpa användare att identifiera berörda cachade moduler och mallversioner.

Coder varnade dock för att företaget inte med säkerhet kan identifiera alla drabbade installationer eftersom den angriparkontrollerade infrastrukturen ligger utanför dess kontroll.