Linux-Distribution: Gentoo legt Abschlussbericht des Github-Angriffs vor

Die auf Github gespiegelten Quellen der Linux-Distribution Gentoo sind vergangene Woche kurzzeitig von Angreifern übernommen worden. Diese waren demnach eher rabiat als vorsichtig. Das Team nutzt jetzt eine Zweifaktorauthentifzierung.

Artikel veröffentlicht am , Ulrich Bantle/Linux Magazin/
Eselspinguine, englisch Gentoo, sind Namensgeber der Linux-Distribution.
Eselspinguine, englisch Gentoo, sind Namensgeber der Linux-Distribution. (Bild: Don Faulkner, flickr.com/CC-BY-SA 2.0)

Ende Juni meldete das Team der Linux-Distribution Gentoo, dass sich Angreifer Zugang zu der Github-Seite des Projekts erschlichen haben. Diese veränderten dort diverse Dateien und schleusten Schadcode in dort liegende Gentoo-Repositorys ein. Der wurde rasch entfernt. Im jetzt vorliegenden ausführlichen Bericht zu dem Vorfall sind drei Repositorys genannt, die über einen gewissen Zeitraum Schadcode enthalten haben. Das sind gentoo/gentoo, gentoo/musl und gentoo/systemd. Wer zwischen dem 28. Juni abends und dem 29. Juni morgens von diesen Repositorys geklont hat, sollte die Prozedur wiederholen. Im Bericht sind zusätzlich die konkreten Uhrzeiten (UTC) genannt.

Stellenmarkt
  1. Assistent (m/w/d) des Vorstands
    Württembergische Versicherung AG, Stuttgart
  2. IT-Projektleiterin/IT-Projek- tleiter (m/w/d), Referat Projekt- und Portfoliomanagement
    GKV-Spitzenverband, Berlin
Detailsuche

Der oder die Angreifer sind der Analyse zufolge an ein Passwort eines Administrators gelangt, um sich Zugriff auf die Github-Infrastruktur verschaffen zu können. Nach derzeitiger Beweislage hat es sich dabei um ein Passwort gehandelt, das der Admin auf einer anderen Seite eingesetzt hatte. Die Angreifer konnten es dort abgreifen und daraus jenes für die Github-Instanz ableiten. Die Angreifer konnten allerdings nicht identifiziert werden, auch nicht über die nun bereitstehenden Github-Logs und den durchgeführten Audit.

Die Github-Seiten waren für die Gentoo-Nutzer etwa fünf Tage lang nicht erreichbar. Gentoo betreibt darüber hinaus eine eigene Infrastruktur, die nicht von dem Vorfall betroffen gewesen sein soll. Das angegriffene Systemd-Repository ist bisher aber nur auf Github verfügbar gewesen und wird deshalb jetzt auch auf die eigene Infrastruktur migriert. Durch den Angriff sind alle in der Vergangenheit getätigten Pull-Requests auf Github verschwunden. Es bleibt abzuwarten, ob dies noch seitens Github behoben werden kann, berichtet das Gentoo-Team.

Pragmatisches Fazit

In einem Fazit sehen die Entwickler einige positiv gelaufene Dinge, dazu zählt die schnelle Reaktionszeit von Gentoo und Github. Als Glücksfall wertet Gentoo den Umstand, dass die Attacke brachial gewesen sei, was sofortige Aufmerksamkeit erregt habe. Es sei keine gute Idee der Angreifer gewesen, alle Accounts zu entfernen, an die dann jeweils Benachrichtigungs-Mails gehen, schreiben die Entwickler. Hilfreich gewesen seien auch die vielen persönlichen Kontakte zu Github-Angestellten. Schlecht gelaufen sei jedoch Kommunikation, die auf zu viele verschiedene Stellen verteilt und nicht immer verständlich gewesen sei.

Golem Akademie
  1. Data Engineering mit Apache Spark: virtueller Zwei-Tage-Workshop
    25.–26. April 2022, Virtuell
  2. Elastic Stack Fundamentals – Elasticsearch, Logstash, Kibana, Beats: virtueller Drei-Tage-Workshop
    15.–17. März 2022, Virtuell
Weitere IT-Trainings

Die betroffenen Github-Repositorys hat das Team inzwischen wiederhergestellt. Als Folge des Angriffs will das Team die Gruppe mit Zugang zur Github-Infrastruktur möglichst klein halten und die Arbeit dort eventuell auch langfristig komplett automatisieren. Außderdem soll die Umsetzung der Zweifaktorauthentifzierung (2FA) künftig besser gestaltet werden als bisher. Diese könnte mittelfristig auf alle Gentoo-Dienste für alle Nutzer mit Zugängen ausgeweitet werden. Umgesetzt werden könnte dies etwa nach dem Modell der Linux-Foundation und deren Nutzung der Nitrokeys.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Ransomware
Jeder hat Daten, die eine Erpressung wert sind

Unbenutzbare Systeme, verlorene Daten und Schaden in Millionenhöhe: Wie ich einen Emotet-Angriff erlebt habe.
Ein Erfahrungsbericht von Lutz Olav Däumling

Ransomware: Jeder hat Daten, die eine Erpressung wert sind
Artikel
  1. Bundesservice Telekommunikation: Die dubiose Adresse in Berlin-Treptow
    Bundesservice Telekommunikation  
    Die dubiose Adresse in Berlin-Treptow

    Angeblich hat das Innenministerium nichts mit dem Bundesservice Telekommunikation zu tun. Doch beide teilen sich offenbar ein Bürogebäude.
    Ein Bericht von Friedhelm Greis

  2. Elektroautos: Volkswagen und Bosch kooperieren bei Akkuzell-Fertigung
    Elektroautos
    Volkswagen und Bosch kooperieren bei Akkuzell-Fertigung

    Den wachsenden Bedarf an Stromspeichern will Volkswagen durch eine Produktionspartnerschaft für Akkuzellen mit Bosch decken.

  3. Fahrlässige Tötung: Tesla-Fahrer wegen Unfall durch Autopilot angeklagt
    Fahrlässige Tötung
    Tesla-Fahrer wegen Unfall durch Autopilot angeklagt

    Ein Tesla-Fahrer muss sich wegen fahrlässiger Tötung vor Gericht verantworten, weil zwei Menschen ums Leben kamen, als der Tesla auf Autopilot fuhr.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 WOHL HEUTE BESTELLBAR • Agon Pro Gaming-Monitor 27" 165Hz 885,86€ (Bestpreis) • Samsung 16GB DDR5-4800 199€ • RTX 3080 12GB bei Mindfactory 1.699€ • Samsung Gaming-Monitore (u.a. G5 32" WQHD 144Hz Curved 299€) • MindStar (u.a. GTX 1660 6GB 499€) • Sony Fernseher & Kopfhörer [Werbung]
    •  /