Github-desaster: cyberkrakeeler infiltriert lieferkette – millionen entwickler gefährdet

Ein verheerender cyberangriff hat die IT-Welt erschüttert: Kriminelle haben in nur sechs Stunden Zugriff auf GitHub erlangt und eine massive Schadsoftware, genannt ‘Megalodon’, in die Lieferkette der Plattform eingeschleust. Die Tragweite ist gigantisch: Rund 180 Millionen Entwickler und vier Millionen Organisationen weltweit sind betroffen.

90% Der fortune 100-unternehmen gefährdet

Alarmierend ist, dass fast 90% der Unternehmen aus der Fortune 100 ihre Code-Basis auf GitHub hosten. Der Angriff verlief so schnell und unbemerkt, dass die Sicherheitsmechanismen nicht rechtzeitig reagieren konnten. Über 5.700 Code-Änderungen – sogenannte Commits – wurden in insgesamt 5.561 unabhängigen Repositories injiziert. Der Fokus lag nicht auf dem direkten Hack von Computern, sondern auf der Manipulation von automatisierten Systemen, die Firmen für die Entwicklung, das Testen und den Hochladen von Anwendungen nutzen.

Die Angreifer nutzten gefälschte Accounts mit zufälligen Namen und gaben sich als Wartungsroboter aus. Für den Betrachter des Versionsverlaufs wirkten die Änderungen wie normale Updates. Doch das eigentliche Problem liegt in den zwei Strategien, die die Cyberkrakeeler einsetzten: ‘SysDiag’ – eine Variante, die Schadcode automatisch ausführt, sobald eine Änderung hochgeladen wird. Und ‘Optimize-Build’ – eine noch gefährlichere Variante, die Aufgaben in einen passiven ‘Schlaf’ versetzt, um den Angriff zur richtigen Zeit zu aktivieren.

Tiledesk als erstes opfer

Das erste und gravierendste Opfer war Tiledesk, eine beliebte Chat-Plattform, die von zahlreichen Webseiten eingesetzt wird. Die Angreifer nutzten diese Plattform als Sprungbrett und schleusten die ‘Optimize-Build’-Variante direkt in die Dateien ein. Der Entwicklerteam des Unternehmens bemerkte nichts und veröffentlichte die betroffenen Versionen, wodurch das Problem sich unkontrolliert verbreitete. Die infizierten Dateien starteten sofort einen vollständigen Datenraub – AWS-Schlüssel, Google Cloud Zugangsdaten, Datenbankpasswörter und Azure Sicherheits-Keys wurden gestohlen.

Dank eines automatisierten Sicherheitssystems, das die Schadsoftware erkannte, konnte das Problem frühzeitig entdeckt werden. Die Ermittlungen führten zu einem zentralen Server unter der Adresse 216.126.225.129:8443. Die Firma SafeDep war in der Lage, die Eskalation zu stoppen. Grafana hat sich gegen den Zahlung von Lösegeld entschieden – ein mutiger Schritt, der die Reichweite des Angriffs weiter begrenzt.

Teampcp und die drohung mit datenleck

Zusätzlich zu dem Angriff auf GitHub hat auch das TeamPCP rund 4.000 Repositories mit internem Code gestohlen und diese auf dem Breached-Forum zum Verkauf angeboten – für einen Preis von 50.000 Dollar. Die Bedrohung besteht darin, dass die Cyberkrakeeler die Daten nicht sofort freigeben, sondern nur bei Nichtzahlung.

Microsoft hält sich bislang zurück und betont, dass die eigenen Repositories derzeit untersucht werden. Es gibt jedoch keine Hinweise darauf, dass Kundendaten gefährdet sind. Die Situation ist komplex und erfordert eine sorgfältige Analyse.

Fazit: Der ‘Megalodon’-Angriff ist ein Weckruf für die gesamte IT-Branche. Die Sicherheitsmechanismen müssen massiv verstärkt werden – bevor ein Projekt von globaler Tragweite in den Schatten der Cyberkriminellen verschwindet. Die Geschwindigkeit und die Raffinesse der Angreifer zeigen deutlich: Die Verteidigung muss Schritt halten mit der Offensive.