Großer Sicherheitsvorfall bei GitHub
GitHub bestätigt einen erheblichen Sicherheitsverstoss: Die Gruppe TeamPCP gelang es, über eine präparierte Visual Studio Code-Extension auf etwa 3.800 interne Repositories des Unternehmens zuzugreifen. Ein GitHub-Mitarbeiter hatte die manipulierte Erweiterung unwissentlich installiert.
Angriffsvector: Poisoned Extension
Die Sicherheitslücke funktionierte über einen klassischen Supply-Chain-Attack. Die gefälschte VS-Code-Extension wurde so gestaltet, dass sie legitim aussah, aber im Hintergrund malicious Code ausführte. Nach der Installation auf dem Rechner des Mitarbeiters konnte die Extension auf dessen GitHub-Zugangsdaten und API-Tokens zugreifen.
Von dort war es für TeamPCP ein leichtes, sich in GitHubs Quellcode-Repositories einzuhacken. Besonders kritisch: Es handelte sich um private Repositories, in denen interne Sicherheitscode und Geschäftslogik lagern.
Timing und Entdeckung
GitHub hat den Vorfall mittlerweile analysiert und die betroffenen Repositories gesichert. Das Unternehmen bestätigte, dass keine laufenden Systeme kompromittiert wurden und der Zugriff auf die private Infrastruktur unterbunden ist. Der genaue Zeitpunkt des Eindringens wird noch untersucht.
TeamPCP gibt es bereits seit geraumer Zeit als Hackergruppe im Fokus der Cybersecurity-Community. Der aktuelle Angriff zeigt einmal mehr, wie erfolgreich Supply-Chain-Attacken gegen Entwickler-Tools sein können.
Lektionen für Entwickler
Der Incident unterstreicht die Risiken beim Installieren von Plugins und Extensions aus unbekannten oder unzureichend verifizierten Quellen:
- Verify Quellen: VS-Code-Extensions sollten nur aus dem offiziellen Marketplace installiert werden
- Review Permissions: Viele legale Tools fordern unnötig weitreichende Rechte – das sollte stutzig machen
- Regelmäßige Audits: Unternehmen müssen ihre genutzten Entwickler-Tools regelmäßig überprüfen
- Zero-Trust-Prinzipien: Selbst "vertraute" Tools sollten limitierte Zugriffe haben
Für GitHub-Nutzer gibt es aktuell keine direkten Handlungsempfehlungen – GitHub hat proaktiv reagiert. Allerdings sollten Teams, die sensible Code-Repositories haben, ihre Access-Logs überprüfen und verdächtige Aktivitäten dokumentieren.
Der Vorfall ist ein Reminder: Security beginnt bei den Tools, die Entwickler täglich nutzen.
