• Un reciente incidente de seguridad ha puesto en jaque a más de un millón de usuarios que descargaron un software aparentemente legítimo. Lo que parecía una descarga segura terminó siendo una puerta de entrada para malware, gracias a un sofisticado ataque.
• Los ciberdelincuentes lograron explotar una vulnerabilidad crítica que les permitió acceder a claves de firma digital y otros datos confidenciales de los desarrolladores del programa. Con esta información, los atacantes pudieron falsificar actualizaciones y distribuir versiones infectadas del software sin levantar sospechas.
• El método utilizado demuestra cómo los hackers pueden eludir medidas de seguridad incluso en plataformas con buena reputación. Este caso sirve como recordatorio de que, aunque un software sea popular o provenga de fuentes conocidas, siempre existe el riesgo de infección si no se toman precauciones adicionales.
• Los expertos recomiendan verificar siempre las firmas digitales de los archivos descargados y mantener actualizados los sistemas de protección para evitar caer en este tipo de trampas.

Un grupo de ciberatacantes ha explotado una vulnerabilidad en el flujo de trabajo de la cuenta de unos desarrolladores de software; una brecha que le dio acceso a sus claves de firma y a otros datos personales y de carácter confidencial.

El objetivo de estos era element-data, una plataforma de comandos desarrollada por Elementary que permite a los desarrolladores monitorizar el rendimiento y detectar anomalías en sistemas de aprendizaje automático.

Según los desarrolladores, al ejecutarse este ataque, el paquete malicioso contaba con el permiso de rastrear los sistemas en busca de datos confidenciales, como perfiles de usuario, credenciales de almacenamiento de datos o claves de proveedores en la nube.

Ejecutaron script bash dentro de la cuenta vulnerada

Tal y como recoge Ars Technica, la versión maliciosa ha sido identificada como 0.23.3 y se ha publicado en el Índice de Paquetes de Python, así como en las cuentas de la también plataforma para desarrolladores Docker.

Con esta brecha, los atacantes obtuvieron acceso a la cuenta de los desarrolladores explotando una vulnerabilidad que ellos mismos habían creado. A continuación, multiplicaron código malicioso en una solicitud de extracción y ejecutaron un script bash en la cuenta del desarrollador.

Un script bash es un archivo de texto plano que contiene una secuencia de comandos de terminal ejecutados de manera secuencial, que permite automatizar tareas repetitivas, gestionar sistemas, combinar comandos y procesar datos.

De esta manera, el script bash obtuvo los datos confidenciales, como las claves de firma, para después publicar un paquete de datos maliciosos prácticamente idéntico a otro de carácter legítimo.

Una brecha eliminada unas horas después de ser descubierta

Esta iteración fue eliminada unas 12 horas después de su intervención y. ninguna otra aplicación salió indemne, como Elementary Cloud, el paquete Elementary dbt y todas las demás versiones de esta interfaz de línea de comandos (CLI).

"Los usuarios que instalaron la versión 0.23.3 o que descargaron y ejecutaron la versión de Docker afectada deben asumir que cualquier credencial accesible al entorno donde se ejecutó podría haber quedado expuesta", han concretado los desarrolladores en GitHub.

Conviene apuntar que fue un tercero quien informó de esta vulnerabilidad, motivo por el que los desarrolladores de Element indicaron que también modificaron todas las credenciales a las que tenía acceso el código malicioso.

No está de más recordar que los flujos de trabajo de repositorios desarrollados por los usuarios, como GitHub Actions, son conocidos por albergar vulnerabilidades; lo que representa un problema grave para los proyectos open code con repositorios abiertos.