ב-26 באוגוסט נכנסו שוטרים לשתי כתובות בפרת' שבמערב אוסטרליה ויצאו עם שני עצורים, בני 21 ו-23. המשטרה הפדרלית האוסטרלית לא פרסמה את שמותיהם, והתקשורת המקומית זיהתה אותם כרובן איאן תומסון ולואי מייקל גייבלר. יחד הם מואשמים ב-14 עבירות, בהן שינוי נתונים ללא הרשאה, החזקת מידע לשם עבירות מחשב וטיפול בכספי פשע. ה-FBI ומשטרת מערב אוסטרליה סייעו בחקירה.

מה קרה

הקבוצה שהם חשודים בהפעלתה נקראת TeamPCP, והשיטה שלה לא הייתה לפרוץ לכל חברה בנפרד. במקום זה נשתל קוד זדוני בתוך ספריות קוד פתוח, אותן חבילות תוכנה חינמיות שכמעט כל מוצר תוכנה מודרני מושך אליו אוטומטית כדי לא לכתוב הכול מאפס. מפתח מריץ פקודת התקנה שגרתית, ומקבל יחד עם הספרייה גם את מה שנשתל בה. למתקפה בצורה הזאת קוראים מתקפת שרשרת אספקה.

החלק שהפך את הסיפור לגדול הוא מה שקרה אחרי ההתקנה. הקוד שנשתל חיפש במחשב של המפתח את מפתחות הגישה שלו לשירותי ענן ולמאגרי הקוד שהוא מתחזק, ואז השתמש בהם כדי לשתול את עצמו גם בחבילות האלה. כך זה התפשט הלאה בלי שאף אחד יפעיל אותו מחדש, כמו שפעפוע בין תיבות דואר. לתולעת קוראים Shai-Hulud, ולפי הדיווחים היא נגעה בין השאר בספריות של TanStack, UiPath ו-MistralAI, בכלי הסריקה Trivy ובמאגרי קוד ב-GitHub.

גורמי החקירה מעריכים שיותר מ-1,000 ארגונים נפגעו, שנחשפו יותר מ-500 אלף פרטי אימות, ושיצאו החוצה יותר מ-300 ג'יגה-בייט של מידע. אלה הערכות של החוקרים ולא נתונים שנקבעו בבית משפט, ובשלב הזה כל האישומים הם טענות בלבד.

למה זה חשוב לכם

הקורבנות הישירים הם חברות תוכנה, אבל מה שנגנב מהן הוא המפתחות למערכות שלהן, ובתוך המערכות האלה יושב המידע של הלקוחות. בריאן קרבס מפרסם רשימה של ארגונים שהקבוצה ניסתה לסחוט אחרי שגנבה מהם מידע, ובהם BMW, מרצדס-בנץ, טויוטה, הונדה, וולוו, סנאפצ'אט ו-LexisNexis. אם קיבלתם בחודשים האחרונים הודעה מחברה כזאת על אירוע אבטחה, זה ההקשר שמאחוריה.

והחלק הפחות נעים: מעצר לא מבטל סיסמה שכבר דלפה. פרטי אימות שנגנבו במרץ עדיין עובדים אם איש לא החליף אותם, וחוקרים שעקבו אחרי הקמפיין מזהירים שקוד התולעת ממשיך להסתובב ברשת בלי קשר למי שכתב אותו.

מה עושים?

אם חברה שאתם לקוחות שלה הודיעה על אירוע אבטחה, החליפו אצלה סיסמה, ומיד אחר כך בכל מקום אחר שבו השתמשתם באותה סיסמה. זו הדרך שבה דליפה אצל יצרנית רכב מגיעה בסוף לתיבת המייל שלכם.

סיסמה שונה לכל שירות היא לא עצה תיאורטית בסיפור הזה. הקמפיין הזה חי בדיוק על ההפך, על פרטי אימות שחזרו על עצמם בין מערכת למערכת.

הפעילו אימות דו-שלבי בדואר, בבנק וברשתות החברתיות. סיסמה שדלפה שווה הרבה פחות לתוקף כשצריך גם קוד ממכשיר שנמצא אצלכם ביד.

מי שכותב קוד או מנהל צוות פיתוח: החליפו עכשיו את מפתחות ה-API ואת ה-token-ים ששמורים בסביבת העבודה ובשרתי הבנייה, גם בלי סימן שמישהו נגע בהם.

שני המעצרים בפרת' סוגרים פרק בחקירה, לא את הבעיה שהיא חשפה. הקוד הפתוח שכל התעשייה רצה עליו מתוחזק ברובו בהתנדבות, ומספיק חשבון אחד של מתחזק אחד כדי להגיע לאלף ארגונים.