Последние шесть недель выдались тяжёлыми для компании Чекмаркс (Checkmarx). За последние 40 дней она дважды стала жертвой атак в цепочке поставок, в результате которых её клиентам доставлялось вредоносное ПО. А теперь к этому добавилась ещё и атака с использованием вымогательского ПО от хакеров, известных своей любовью к публичности.
И цель, и канал распространения
Всё началось 19 марта с компрометации Trivy — популярного сканера уязвимостей. Злоумышленники получили доступ к аккаунту Trivy на GitHub и через него распространили вредоносный код среди пользователей. Среди них была и Чекмаркс. Установленное ПО сканировало заражённые машины в поиске токенов репозиториев, ключей SSH и других учётных данных.
Через четыре дня скомпрометировали уже сам аккаунт Чекмаркс в GitHub. Через него началась рассылка вредоносов её собственным пользователям. Компания заявила, что локализовала инцидент, устранила угрозу и заменила вредоносные файлы легитимными. По крайней мере, так считалась Чекмаркс.
Но 22 апреля из того же аккаунта пошла новая волна вредоносного ПО. Это означает, что либо предыдущую уязвимость устранили не до конца, либо произошла новая, пока не раскрытая атака. Компания вновь занялась вытеснением злоумышленников. По данным компании Сокет (Socket), в то же время в официальном репозитории Чекмаркс/kics на Docker Hub публиковались вредоносные пакеты.
В понедельник Чекмаркс сообщила о новом витке скандала: группа вымогателей, известная как Лапсус (Lapsu$), выложила на тёмном вебе пакет внутренних данных. Дата утечки — 30 марта. Судя по временной метке, хакеры сохранили доступ к аккаунту GitHub даже после того, как Чекмаркс заявила о его восстановлении 23 марта. Попытки вытеснить злоумышленников оказались неудачными.