GitHub 称黑客通过窃取的 OAuth 访问令牌入侵了数十个组织

基于云的存储库托管服务 GitHub 周五透露，它发现了一个不知名的对手利用被盗的 OAuth 用户代码从多个组织未经授权下载私人数据的证据。

“攻击者滥用被盗 OAuth 用户令牌发给两个第三方 OAuth 集成商 Heroku 和 Travis-CI，从包括 NPM 在内的数十个组织下载数据，”GitHub 的 Mike Hanley 一份声明在一份报告中。

通常 OAuth . 访问令牌是用过的通过应用程序和服务允许访问特定的用户数据并相互通信，而无需共享实际凭据。它是用于从单次登录传递授权的最常用方法之一（单点登录) 另一个应用程序的服务。

截至 2022 年 4 月 15 日，受影响的 OAuth 应用程序列表如下：

该公司表示，据说 OAuth 令牌不是通过违反 GitHub 或其系统获得的，因为它没有以原始可用格式存储令牌。

此外，GitHub 警告说，受威胁的攻击者可能会使用第三方 OAuth 应用程序分析从受害者实体下载的私有存储库的内容，以收集额外的秘密，然后可以利用这些秘密专注于其基础设施的其他部分。

这家微软拥有的平台表示，它在 4 月 12 日发现了攻击活动的早期证据，当时它遇到了使用受损的 AWS API 密钥对其 NPM 生产环境进行未经授权的访问。

据信，此 AWS API 密钥是通过从两个受影响的 OAuth 应用程序之一下载一组带有 OAuth 令牌的身份不明的私有 NPM 存储库获得的。 GitHub 表示，它已经删除了与受影响应用程序相关的访问令牌。

“此时，我们评估攻击者没有修改任何包或访问任何用户帐户数据或数据，”该公司表示，并补充说它仍在检查攻击者是否查看或下载了私人包。

GitHub 还表示，它目前正在努力识别并通知所有已知受影响的用户和组织，这些用户和组织可能会在接下来的 72 小时内因此次事件而受到影响。