Attacco a Coder: credenziali rubate via moduli Terraform compromessi

Compromissione della infrastruttura Cloudflare di Coder: attacco mirato al registry

Un attacco informatico ha compromesso l'infrastruttura Cloudflare di Coder, permettendo agli aggressori di aggiungere server non autorizzati al registry del progetto. Questi server maliziosi hanno distribuito moduli Terraform infetti, capaci di rubare credenziali sensibili da ambienti di sviluppo.

Risposta Rapida

Dettagli tecnici dell'attacco

L'attacco ha preso di mira registry.coder.com, il sito di hosting dei pacchetti utilizzato dagli sviluppatori per ottenere componenti per i loro template di workspace. Nonostante il registry operasse dietro Cloudflare, gli aggressori sono riusciti ad accedere all'infrastruttura sottostante e ad aggiungere IP non autorizzati al pool del registry.

Cloudflare ha quindi instradato alcune richieste del registry ai server degli attaccanti invece che ai server legittimi di Coder, distribuendo file maliziosi a un sottoinsieme di utenti. L'advisory di sicurezza di Coder conferma che "un attore malizioso non identificato ha ottenuto l'accesso all'infrastruttura Cloudflare di Coder e ha aggiunto indirizzi IP non autorizzati al pool utilizzato per il registry dei moduli di Coder".

I moduli maliziosi e il furto di credenziali

Durante la finestra di distribuzione dei file maliziosi, tra le 07:35 UTC e le 21:45 UTC del 31 agosto 2024, i server degli attaccanti hanno distribuito versioni modificate di moduli Terraform. Questi moduli, una volta eseguiti, agivano come ladri di informazioni, cercando e raccogliendo una vasta gamma di credenziali sensibili:

• Variabili d'ambiente e segreti del provisioner
• Chiavi API di infrastrutture cloud e strumenti AI
• Credenziali CI/CD
• Segreti da file di configurazione e storia del terminale
• Token OIDC degli utenti
• Chiavi SSH configurate
• Token di autenticazione esterna a singolo utilizzo
• Password del database di Coder e altri segreti di configurazione

Le informazioni rubate sono state poi esfiltrate al dominio simile 'coder-infra[.]com'.

Raccomandazioni per la mitigazione

Coder raccomanda agli utenti potenzialmente colpiti di ruotare immediatamente tutte le credenziali menzionate sopra. Prima di aggiornare alle versioni patchate (2.37.0, 2.36.4, 2.35.7 e 2.34.9), gli utenti dovrebbero esaminare i log di firewall, proxy, DNS e VPC flow per verificare connessioni a coder-infra[.]com.

Gli sviluppatori dovrebbero inoltre cercare nei log del provisioner la stringa 'data.external.telemetry', identificare i moduli scaricati durante la finestra di esposizione e eliminare i pacchetti in cache potenzialmente maliziosi. Coder ha condiviso un query SQL per aiutare gli utenti a identificare i moduli in cache e le versioni dei template potenzialmente colpiti.

Limitazioni nell'identificazione degli impatti

Coder ha chiarito che, poiché l'infrastruttura degli attaccanti è al di fuori del suo controllo, non è possibile accedere ai log cruciali e identificare in modo conclusivo tutte le distribuzioni compromesse. Inoltre, i punteggi di prevenzione complessivi possono nascondere ciò che accade dopo l'accesso iniziale, con un calo netto della prevenzione una volta che gli attaccanti utilizzano credenziali valide.

Implicazioni per la sicurezza degli ambienti di sviluppo

Questo attacco evidenzia i rischi associati alle infrastrutture di sviluppo cloud e la necessità di una rigorosa gestione delle credenziali. Le organizzazioni che utilizzano piattaforme come Coder per fornire ambienti di sviluppo ai loro team dovrebbero implementare misure di sicurezza avanzate, come la monitoraggio continuo delle attività del registry e l'analisi comportamentale delle credenziali.

Un approccio proattivo alla gestione delle vulnerabilità e l'adozione di strumenti di rilevamento delle intrusioni possono aiutare a mitigare i rischi di attacchi simili in futuro. Inoltre, la formazione degli sviluppatori sull'identificazione e la segnalazione di attività sospette può costituire una linea di difesa aggiuntiva contro queste minacce.

Il ruolo della visibilità e del controllo

L'incidente sottolinea l'importanza di mantenere una visibilità completa sull'infrastruttura di sicurezza e di implementare controlli rigorosi per prevenire l'accesso non autorizzato. Le organizzazioni dovrebbero valutare l'implementazione di soluzioni di sicurezza che offrano una visibilità in tempo reale su tutte le attività del registry e la capacità di bloccare rapidamente le richieste sospette.

Inoltre, l'adozione di pratiche di sicurezza basate su zero trust può aiutare a limitare l'impatto degli attacchi, garantendo che anche gli utenti con credenziali valide siano soggetti a un continuo processo di autenticazione e autorizzazione.

Le sfide della sicurezza in ambienti cloud complessi

Gli ambienti di sviluppo cloud, in particolare quelli che supportano lo sviluppo di applicazioni AI, presentano sfide uniche in termini di sicurezza. La complessità di queste infrastrutture e la necessità di accesso flessibile da parte degli sviluppatori creano un vasto attacco per potenziali minacce.

Per affrontare queste sfide, le organizzazioni devono adottare un approccio olistico alla sicurezza, che includa la protezione delle infrastrutture sottostanti, la gestione rigorosa delle credenziali e la formazione continua degli sviluppatori. Inoltre, la collaborazione con fornitori di soluzioni di sicurezza e la condivisione di informazioni su minacce e vulnerabilità possono contribuire a rafforzare la postura di sicurezza complessiva.

L'attacco a Coder serve come promemoria critico dell'importanza di una sicurezza robusta in ambienti di sviluppo cloud e della necessità di un approccio proattivo alla gestione delle minacce. Le organizzazioni che investono in misure di sicurezza avanzate e pratiche di gestione delle vulnerabilità possono proteggere meglio i loro ambienti e ridurre il rischio di attacchi informatici devastanti.