Une attaque coordonnée contre les services en ligne Git – GitHub, GitLab et Bitbucket – affecte au moins 392 dépôts de code.
Ils ont été piratés, et il leur est demandé de verser une rançon de 0,1 bitcoin à l’adresse https://www.blockchain.com/btc/address/1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA, soit 501 euros, s’ils veulent retrouver leur code source, qui a été remplacé par l’annonce : *
Pour récupérer votre code perdu et éviter toute fuite: envoyez-nous 0,1 Bitcoin (BTC) à notre adresse Bitcoin 1ES14c7qLb5CYhLMUekctxLgc1FV2Ti9DA et contactez-nous par courrier électronique à admin@gitsbackup.com avec votre identifiant Git et une preuve de paiement. Si vous n’êtes pas sûr que nous avons vos données, contactez-nous et nous vous enverrons une preuve. Votre code est téléchargé et sauvegardé sur nos serveurs. Si nous ne recevons pas votre paiement dans les 10 prochains jours, nous rendrons votre code public ou l’utiliserons autrement.
Les trois premières causes de piratage d’entrepôts sont :
- Un mot de passe faible ;
- Un mot de passe sauvegardé en clair dans l’un des fichiers ;
- L’oubli d’effacer des jetons d’accès conférés à de vieilles applications qui n’ont pas été utilisées depuis des mois.
Il semblerait que les pirates n’aient pas effacé les fichiers, mais simplement modifié les en-têtes de validation de transactions, ce qui permettrait, dans certains cas, de récupérer le code source.
Des instructions de récupération sont disponibles sur cette page. Il n’est pas recommandé de payer la rançon avant d’avoir essayé de récupérer les fichiers et d’avoir contacté l’assistance technique du service utilisé.
De fait, l’intérêt même de la gestion de version est d’éviter de se retrouver sans aucune sauvegarde, il est donc probable que l’assistance technique puisse aider.
Si ces entrepôts sont surtout exploités par le code source ouvert, ils sont de plus en plus adoptés comme principal solution par les entreprises. Dans ce cas, il ne s’agit pas seulement de risque de perte de données, mais de vente ou de dissémination de secrets industriels.
* Traduction: Le Diligent