GitHub filtra 3,800 repositorios por extensión de VS Code

✨︎ Resumen (TL;DR):

• Un empleado de la plataforma instaló una extensión comprometida en Visual Studio Code, lo que abrió la puerta al hackeo.
• El grupo criminal TeamPCP se atribuyó la intrusión y exige 50,000 dólares por los datos exfiltrados.
• GitHub asegura que no hay impacto en la información de clientes corporativos ni servidores externos.

GitHub confirmó un ataque de seguridad que expuso aproximadamente 3,800 repositorios internos de su plataforma. La brecha ocurrió después de que un empleado instalara una extensión infectada en su editor Visual Studio Code (VS Code), permitiendo a los atacantes acceder a su computadora de trabajo e iniciar la filtración del código fuente de la compañía.

La plataforma de desarrollo de software reaccionó retirando el complemento malicioso de la tienda de extensiones de Microsoft, aislando el dispositivo afectado y rotando las credenciales de seguridad más críticas de su infraestructura de desarrollo.

El grupo cibercriminal TeamPCP se adjudicó el ataque en un foro de ciberdelincuencia, donde ofreció la base de datos robada por un pago mínimo de 50,000 dólares. GitHub reconoció que la cifra de repositorios comprometidos coincide de manera aproximada con sus investigaciones internas.

“Detectamos y contuvimos el compromiso de un dispositivo de empleado que involucró una extensión envenenada de VS Code”, declaró la compañía en su comunicado de respuesta al incidente.

“Nuestra evaluación actual es que la actividad implicó únicamente la exfiltración de repositorios internos de GitHub”, añadió la empresa de tecnología para calmar las alertas sobre daños a terceros.

Te podría interesar:
Hackers liberan en GitHub el código del gusano Shai-Hulud

El peligro oculto en las herramientas de desarrollo

El incidente expone una vulnerabilidad crítica para los equipos de ingeniería de software. Las extensiones de Visual Studio Code son complementos para programar de forma más ágil, pero al ejecutarse localmente en la computadora del programador, tienen acceso directo a tokens, contraseñas, variables de entorno y accesos a la nube.

La firma de seguridad Aikido Security advirtió que los ciberdelincuentes buscan este tipo de accesos porque operan en una capa que las defensas tradicionales no suelen vigilar. Incluso una extensión dañina que permanezca activa por pocos minutos puede robar datos críticos de desarrollo.

Para mitigar el daño, GitHub ejecutó medidas de contención inmediata: * Aislamiento total del equipo comprometido de la red interna. * Retiro definitivo de la extensión fraudulenta en el Marketplace. * Rotación y renovación de los secretos de seguridad de alto impacto. * Monitoreo constante de actividad sospechosa en sus servidores.

Sin afectaciones a clientes externos

Hasta el momento, la investigación descarta afectaciones a la información de organizaciones o cuentas de clientes externos. No obstante, la empresa mantendrá abierta la investigación de seguridad y publicará un reporte técnico detallado en cuanto concluya el análisis.

Este caso enciende las alertas para empresas de tecnología en México y América Latina que manejan desarrollos distribuidos, obligando a los administradores a auditar no solo el código de sus sistemas, sino también los complementos que sus ingenieros instalan en sus computadoras de trabajo.

Fuentes: 1, 2, 3, 4, 5, 6, 7