«GitHub» dasturiy ta’minot ishlab chiquvchilariga xizmat ko‘rsatuvchi kompaniya xaker tomonidan taxminan 3800 ta ichki omboridagi kodlar o‘g‘irlanganini ma’lum qildi. Xaker bu harakatni xodim kompyuteriga zararli plagin o‘rnatib amalga oshirgan. Bu holat kripto sohasida kod ichida saqlanayotgan API kalitlarining xavfsizligi borasida xavotirlarni kuchaytirdi.
«Binance» kriptovalyuta birjasi asoschisi Changpeng Chjao dasturchilarga har bir loyihada yashirin kalitlar bor-yo‘qligini tekshirish va ularning barchasini almashtirishni tavsiya qildi. U hatto maxfiy omborlar ham endi ochiqlikka chiqqani kabi muomala qilinishi kerakligini ogohlantirdi.
Kompaniya nimalarni ochiqladi
«GitHub» kompaniyasi hodisa kompaniyada ishlovchi xodim butun dunyodagi millionlab dasturchilar foydalanadigan kod muharriri uchun mo‘ljallangan VS Code kengaytmasining zararli turini o‘rnatganidan so‘ng boshlanganini ma’lum qildi.
Kompaniya zarar ko‘rgan kompyuterni ajratib oldi, zararli kengaytmani o‘chirib tashladi va muhim parollarni tezda o‘zgarta boshladi. Eng xavfli, ya’ni muhim maxfiylikdagi ma’lumotlar birinchi navbatda yangilandi.
Hozirgi tekshiruv natijalari xaker faqat «GitHub»ga tegishli ichki omborlardan kodlarni o‘zlashtirganini ko‘rsatmoqda. Mijozlarning loyihalari, tashkilotlari yoki akkauntlarida hozircha zarar yetkazilganiga dalil yo‘q.
«GitHub» tahdidlanuvchining 3800 dan ortiq ombor o‘g‘irlanganligi haqidagi gaplari kompaniya tekshiruv natijalari bilan mos tushishini bildirdi. To‘liq hisobot tekshiruv yakunlangach e’lon qilinadi.
Nima uchun kripto dasturchilari hushyor bo‘lishmoqda?
Kripto sohasida ochilib qolgan API kaliti bir necha daqiqa ichida savdo hisobidagi barcha mablag‘larni yo‘qotishi mumkin. Ko‘plab API kalitlari esa kripto hamyonlar, kriptovalyuta saqlash vositalari va birja robotlariga kirish imkonini ham beradi. Shuning uchun Changpeng Chjao tez orada o‘z kuzatuvchilariga ogohlantirish berdi.
Bu sohaga avval ham zarar yetgan edi. Infratuzilma bilan shug‘ullanuvchi «Vercel» kompaniyasi (infratuzilma xizmat ko‘rsatuvchi tashkilot)da bu yil boshida sodir bo‘lgan buzilish jamoalarga API kalitlarni yangilashga majbur qildi. 2022-yilda esa «3Commas» birja robotlari xizmati (kripto savdo xizmat ko‘rsatuvchi tashkilot)da yuz bergan ma’lumotlar sizib chiqishi tufayli taxminan 100 000 nafar foydalanuvchi kalitlari ochilib qoldi.
Yana bir holatda – «Bitwarden» parol boshqaruvchisi (parollarni boshqarish ilovasi)ga qilingan ta’minot zanjiri hujumi natijasida hamyon urug‘lari (pin kodlari) va dasturchi tokenlari o‘g‘irlab ketildi. Ushbu o‘g‘irlangan ma’lumotlar esa «GitHub» omborlari ichiga yashirilgan edi.
Dasturchilar ko‘pincha maxfiy kalitlarni kodlarning, tuzish (build) skriptlarining yoki yashirin sozlama fayllarining ichida qoldiradilar va bu ma’lumotlarga tashqaridan hech kim kira olmaydi deb o‘ylaydilar. «GitHub» voqeasi esa ichki tizimlar ham ochiq tizimlar kabi buzilishi mumkinligini ko‘rsatdi.
«GitHub» jamoasi haligacha barcha loglarni tekshirishda davom etmoqda. Buzib olingan omborlardan birorta kripto infratuzilmasiga oid kod yoki maxfiy ma’lumotlar bor-yo‘qligi yaqin kunlarda aniq bo‘ladi.
