Hackers comprometeram a infraestrutura do Coder hospedada na Cloudflare e adicionaram servidores de registro não autorizados, que distribuíram módulos maliciosos do Terraform contendo código para roubo de credenciais.
A plataforma Coder permite que organizações ofereçam aos desenvolvedores ambientes de desenvolvimento em nuvem, seguros e auto-hospedados, para criação e implantação de software, inclusive aplicações de IA.
O projeto é usado por organizações privadas e governamentais de grande destaque, entre elas Dropbox, Palantir, Square, Mercedes-Benz, KKR, EnBW, o governo dos Estados Unidos e empresas de defesa.
No início desta semana, o Coder informou que um atacante mirou o registry.coder.com, site de hospedagem de pacotes do projeto, usado por desenvolvedores para obter componentes destinados a modelos de ambiente de trabalho.
Embora o registro do Coder opere atrás da Cloudflare, o atacante acessou a infraestrutura subjacente e adicionou servidores não autorizados ao conjunto do registro.
Como resultado, a Cloudflare passou a direcionar parte das requisições do registro para os servidores do atacante, em vez de encaminhá-las para os servidores legítimos do Coder, entregando arquivos maliciosos a uma parcela dos usuários.
“Um agente malicioso não identificado obteve acesso à infraestrutura da Cloudflare do Coder e adicionou endereços IP não autorizados ao conjunto usado pelo registro de módulos do Coder”, diz o comunicado da empresa.
“Esses endereços IP não autorizados hospedavam uma versão do registro do Coder que continha artefatos com código malicioso.”
A empresa informou que a janela de entrega dos artefatos maliciosos ocorreu entre 07h35 UTC e 21h45 UTC da segunda-feira, 31 de agosto.
Durante esse período, os servidores maliciosos distribuíram versões modificadas de módulos do Terraform, que são pacotes prontos de instruções para criar e configurar infraestrutura computacional.
Segundo o Coder, os módulos maliciosos atuaram como infostealers em hosts infectados, buscando:
- variáveis de ambiente e segredos do provisioner
- chaves de API de infraestrutura em nuvem e ferramentas de IA
- credenciais de CI/CD
- segredos em arquivos de configuração e histórico do terminal
- tokens OIDC do usuário
- chaves SSH configuradas
- tokens temporários de autenticação externa
- senhas do banco de dados do Coder e outros segredos de configuração quando o provisioner era executado dentro do “coderd”
As informações coletadas foram exfiltradas para o domínio semelhante a ‘coder-infra[.]com’.
A recomendação é que usuários possivelmente afetados troquem o quanto antes todos os segredos mencionados na lista acima.
Antes de atualizar para uma versão corrigida, o Coder recomenda que os usuários das versões 2.37.0, 2.36.4, 2.35.7 e 2.34.9 examinem logs de firewall, proxy, DNS e fluxo de VPC em busca de conexões com coder-infra[.]com.
Os desenvolvedores também devem procurar nos logs do provisioner por data.external.telemetry, identificar os módulos baixados durante a janela de exposição e remover pacotes em cache possivelmente maliciosos.
Para ajudar os usuários a verificar se foram impactados, o Coder divulgou uma consulta SQL que pode identificar módulos em cache e versões de modelos potencialmente afetados.
O projeto afirmou que os refresh tokens não foram repassados ao provisioner e que não há evidências de impacto aos dados de clientes sob sua guarda.
Ainda assim, como a infraestrutura do atacante está fora do controle do projeto, o Coder não tem acesso a logs cruciais e não consegue identificar de forma conclusiva todas as implantações comprometidas.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...