Auf den Punkt: GitHub bestätigt Sicherheitsverletzung von etwa 3.800 internen Repositories nach Installation einer bösartigen VS-Code-Erweiterung durch einen Mitarbeiter. Hackergruppe TeamPCP fordert 50.000 US-Dollar für den Zugriff auf rund 4.000 Private-Code-Repositories und droht mit kostenloser Veröffentlichung.
GitHub bestätigt nach Ermittlungen einen Sicherheitsverstoß gegen etwa 3.800 interne Repositories, nachdem ein Mitarbeiter eine bösartige Visual Studio Code Erweiterung installiert hatte. Die Hackergruppe TeamPCP hatte den Zugriff auf rund 4.000 Repositories mit privatem Code behauptet und forderte mindestens 50.000 US-Dollar.
GitHub führt Ermittlungen zu einem Sicherheitsverstoß in seinen internen Repositories durch, nachdem die Hackergruppe TeamPCP behauptete, auf ungefähr 4.000 Repositories mit privatem Code zugegriffen zu haben. Die cloud-basierte Entwicklungsplattform wird von mehr als vier Millionen Organisationen genutzt, darunter 90 Prozent der Fortune-100-Unternehmen, sowie von über 180 Millionen Entwicklern, die zu mehr als 420 Millionen Code-Repositories beitragen.
GitHub erklärte gegenüber BleepingComputer, dass man derzeit keine Hinweise auf Auswirkungen auf Kundendaten außerhalb der internen Repositories habe. Das Unternehmen überwacht seine Infrastruktur genau auf Folgemaßnahmen. Alle betroffenen Kunden werden über etablierte Benachrichtigungs- und Incident-Response-Kanäle alarmiert, sollten Auswirkungen festgestellt werden.
TeamPCP forderte auf dem Breached-Hacking-Forum mindestens 50.000 US-Dollar und bot Beispiele an, um die Authentizität zu überprüfen. Die Gruppe betonte, dass es sich nicht um Erpressung handele und kündigte an, die Daten zu vernichten oder kostenfrei zu veröffentlichen, falls kein Käufer gefunden werde.
TeamPCP war zuvor mit Supply-Chain-Angriffen auf mehrere Entwicklerplattformen verbunden, darunter GitHub, PyPI, NPM und Docker. Im März kompromittierte die Gruppe Aquas Security-Schwachstelle-Scanner Trivy, was zu Angriffen auf Docker-Images und das Checkmarx-KICS-Projekt führte. Die Gruppe wird auch mit der Mini-Shai-Hulud-Kampagne und gestohlenen Mistral-AI-Quellcodes in Verbindung gebracht.