汚染されたVS Code拡張機能がGitHubの社内リポジトリ3,800件を盗み出した

ギットハブ（GitHub）は社内リポジトリへの不正アクセスを調査しており、攻撃者が約3,800件のリポジトリからデータを持ち出すことに成功したと認めた。侵入経路は、従業員が導入していたビジュアル・スタジオ・コードの汚染された拡張機能で、攻撃者はそのマシンに足場を得て、本来であれば会社の内側にとどまるはずの社内コードへと手を伸ばした。

ギットハブが線を引いている境界、つまり社内リポジトリと顧客向けプラットフォームの間の線が、封じ込められた事案と世界規模のサプライチェーン緊急事態を分ける唯一のものだ。ギットハブは約1億人の開発者と、現在のインターネットを支えるオープンソースコードの相当部分を抱えている。会社が「社内」と言うとき、それは自分たちのプラットフォームコード、自分たちのツール、運用構成、つまりギットハブが自分自身を組み立てて動かすために使っている素材を指す。顧客の組織や企業、その顧客がギットハブ上に保管している公開・非公開のリポジトリは、会社自身の言い分によれば今回の侵入の影響圏外にある。

この線引きは、同社が公式X（旧Twitter）アカウントに投じた声明の中で大きな役割を果たしている。「現時点ではギットハブの社内リポジトリの外側に保管された顧客情報への影響を示す証拠はない」とした上で、「インフラを引き続き注視し、追随する活動がないか確認している」と述べる。表現は精密で、侵害発表における精密さは普通、調査がまだ動いていることを意味する。「影響の証拠がない」は「影響がない」と同じではない。大規模プラットフォームの事案は、フォレンジック分析が攻撃者の挙動に追いついていくにつれ広がっていく癖がある。社内と顧客向けの境界線も、清潔な物理的な壁であることはまれだ。アクセス制御や認証情報、サービスアカウントの束を、一つひとつ吟味していくしかない。

こちらもおすすめAIが動作するゼロデイ攻撃コードを書き上げる──グーグルが先回りで阻止

この物語のうち、世界中の開発者が気にすべき部分は仕組みのほうにある。ビジュアル・スタジオ・コードは地球上で最も使われているコードエディターであり、ほぼあらゆる大規模エンジニアリング組織の現場に入り込んでいる。その拡張機能マーケットプレイスはコミュニティの信頼に支えられている。誰でも公開でき、多くの技術者はブラウザーのブックマークを足す程度の軽さで拡張機能を入れている。汚染された拡張機能がそのルートを通って開発者の端末に届き、起動した時点で攻撃者はその開発者のセッションが届く範囲のすべてに手をかけられる。リポジトリ、トークン、パッケージレジストリ、社内サービスなどだ。今回使われた拡張機能の具体的な名称はまだ公表されていないが、構図そのものは新しくない。開発者向けツール拡張として人気の高いNx Consoleも、似たような侵害に巻き込まれた。

犯行を名乗り出たのはTeamPCPを名乗るグループで、データセットを地下フォーラムで五万ドルを下限として売りに出している。「これは身代金ではない」というグループの言い回しは、それ自体がひとつの信号だ。ギットハブを直接脅迫しようとしているわけではない。盗まれた社内ソースコードを、別の犯罪者がクレジットカード情報のダンプを扱うのと同じように、買い手のいる商品として扱っている。最終的にその3,800件のアーカイブを手にした者は、コードに埋め込まれた認証情報、ハードコードされた鍵、ギットハブ自身のインフラへの攻撃に役立つ手がかり、そして下流の標的を侵害するために使えるあらゆる断片を、すみずみまで漁ることになる。同じグループはPyPIのdurabletaskパッケージを攻撃したMini Shai-Huludワームとも結び付けて語られており、この物語の本当の骨格を浮かび上がらせる。ソフトウエア開発のサプライチェーンに対する攻撃は、理論上のシナリオから実務的な手仕事へと移ってしまった。

ギットハブ自身の説明によれば、封じ込めの動きは速かった。侵害された端末は隔離された。悪意ある拡張機能は取り除かれた。同社は重要なシークレットを、影響度の大きい認証情報を優先しながらローテーションしたとし、調査が広がる場合には所定のインシデント対応チャネルを通じて影響を受ける顧客に通知するとしている。マイクロソフト傘下のこの企業は、端末を侵害されたギットハブ従業員の名前も、当該拡張機能の名前も、攻撃者が発見されるまでに保持していたアクセス時間の正確な窓も明らかにしていない。これらは通常、最初の発表から数週間後に出るより長い事後報告で姿を現す。

それ以外の業界にとっての実務的な教訓は、脅威インテリジェンスの包み紙が思わせる以上に単純だ。あらゆるエンジニアリング組織は、不用意な拡張機能ひとつ分の距離で同じ事案に立つことができる。掲示板のスレッドで勧められたビジュアル・スタジオ・コードの拡張機能を入れた経験のある誰もが、ギットハブの従業員に降りかかったのと同じリスクを引いていた。効く対策は知られていて、適用は不均一だ。拡張機能のインストールを精査済みの許可リストに制限する、開発者端末を本番資格情報から切り離す、シークレットを短い周期で回す。今回の侵害は、後回しにしてきた企業の優先順位リストでこれらを押し上げる。

ギットハブは完全な公開ポストモーテムの時期を明らかにしていない。この規模のプラットフォームで発生したこの大きさの調査は、全貌が見えるまで数週間を要するのが通例であり、続報は同社の公式チャネル経由で順次伝えられていくはずだ。次に観察すべき点は、3,800件のリポジトリのアーカイブが本当に市場に出るかどうか、そして地下市場が数日かけて目次を眺めたあと、底値がどちらに動いていくかである。

関連記事

cPanelの認証バイパスで7,000万サイトが誰でも入れる状態に──緊急パッチ公開

AIで作られたアプリ38万本をスキャン、数千本に認証が一切なかった