攻击者利用OAuth令牌窃取私人存储库数据

2024-10-31

GitHub披露了上周的事件相关细节，黑客使用偷来的OAuth令牌，从私人仓库下载了数据。攻击者利用OAuth令牌窃取私人存储库数据。

GitHub首席安全官Mike Hanley说："我们并不认为攻击者是通过破坏GitHub或其系统来获取这些令牌的，因为这些令牌并不是由GitHub以其原始可用的格式进行存储的，"。

OAuth（开放授权）是一个开放标准的授权框架协议，主要用于互联网上基于令牌的授权功能。它使得最终用户的账户信息能够被第三方服务所使用，如Facebook和谷歌。

Oauth并不分享凭证，而是使用授权令牌来进行身份鉴定，并且作为一个中介来批准一个应用程序与另一个应用程序之间进行互动。

攻击者窃取或使用OAuth令牌进行攻击的安全事件并不少见。

微软在2021年12月就曝出了一个Oauth的漏洞，各个应用程序之间（Portfolios、O365 Secure Score和Microsoft Trust Service）容易出现认证漏洞，使攻击者可以接管Azure账户。为了使用该漏洞进行攻击，攻击者首先会在OAuth提供者的框架中注册他们的恶意应用程序，使其URL重定向到钓鱼网站。然后，攻击者会向他们的目标发送带有OAuth授权URL的钓鱼邮件。

攻击者的行为分析

GitHub分析说，攻击者使用了窃取的OAuth令牌对GitHub API进行认证，这些令牌是分发给Heroku和Travis CI账户的。它补充说，大多数受影响的人都是在他们的GitHub账户中授权了Heroku或Travis CI的OAuth应用。网络攻击是有选择性的，攻击者克隆了感兴趣的私人存储库。

Hanley说："这种行为模式表明，攻击者只是针对特定的组织，并且有选择性地下载私人存储库。GitHub认为这些攻击是有高度针对性的。”

GitHub表示，它正在向那些将Travis CI或Heroku OAuth应用集成到GitHub账户的客户发送最后通知。

4月12日，GitHub开始对被盗的令牌进行调查，当时GitHub安全部首次发现有人未经授权使用被窃取的AWS API密钥访问NPM（Node Package Management）生产基础设施。这些API密钥是攻击者使用被盗的OAuth令牌下载私有NPM存储库时获得的。

NPM是一个用于通过npm包注册表下载或发布节点包的工具。

发现攻击后，Travis CI、Heroku和GitHub撤销了OAuth令牌的访问权，并建议受影响的组织监测审计日志和用户账户安全日志，防止恶意攻击活动的发生。

【本文翻译自：https://threatpost.com/github-repos-stolen-oauth-tokens/179427/ 来源：嘶吼网】

编辑推荐

安企神软件系统数据 保密系统--防止员工私下拷贝机密文件、防止黑客攻击窃取数据、防止外发文件泄密，防止第三方扩散机密文件泄密！适用于对各类设计图纸、研发数据、机密文档、客户资料等电子文档保密。任何试图私下拷贝窃取公司机密文件，都将无法打开使用，显示为乱码！确保从源头管控数据安全！

对于外发给客户（第三方）的文件，可控制对方的打开时间和次数等限制！同时可设置对员工电脑文件自动备份，防止恶意删除造成企业数据的遗失！从源头防控企业数据安全！

TAG：

上一篇 : 盘点2022年上半年十大知名企业数据泄露事件

下一篇 : 数以百万计的 MySQL 服务器被发现在线暴露

文章标签

文档加密软件

文档信息安全管理软件

上网行为管理软件

应用程序管控软件

敏感文件管理软件

U盘设备管控软件

文件分发软件

IT资产管理软件

电脑操作记录软件

远程控制软件

聊天管控软件

敏感信息报警

屏幕管控

内网管理

深度行为分析

电脑屏幕录像

实时管控

补丁管理

网络准入控制管理系统