CrowdSec сообщила об утечке кода из 170 закрытых репозиториев GitHub

Французская компания CrowdSec сообщила, что злоумышленник скопировал около 170 её закрытых репозиториев на GitHub. По версии компании, для этого использовали GitHub OAuth-токен аккаунта сотрудника, который недавно покинул компанию и ещё сохранял доступ к организации GitHub для завершения работы.

Копирование произошло 22 мая, а сам архив с кодом появился на онлайн-форуме 16 сентября. CrowdSec связывает инцидент с майской атакой на экосистему TanStack: вредоносные версии npm-пакетов похищали учётные данные с компьютеров разработчиков, включая GitHub-токены, SSH-ключи и облачные учётные данные. Компания утверждает, что ноутбук бывшего сотрудника был скомпрометирован именно в ходе этой атаки.

11 мая злоумышленники опубликовали 84 вредоносные версии 42 npm-пакетов TanStack. Компрометация отслеживается под идентификатором CVE-2026-45321. CrowdSec удалила аккаунт бывшего сотрудника из своей GitHub-организации 25 мая — через три дня после копирования репозиториев. По словам компании, остальные доступы сотрудника были отозваны ранее, поэтому подозрительной активности в системах AWS она не обнаружила.

В CrowdSec заявили, что атакующие только скопировали код: инфраструктура и базы данных не были доступны, а изменений в репозитории не вносилось. В компании также сообщили, что проверили устройства разработчиков и не нашли на них следов компрометации. В момент расследования использованный токен уже не существовал, а в доступных CrowdSec журналах GitHub не осталось его следов. Компания утверждает, что история токена, восстановленная при участии поддержки GitHub, подтвердила связь инцидента с атакой на TanStack.

В опубликованном архиве находились не публичный Security Engine CrowdSec, а код веб-консоли, скрипты и модели команды обработки данных, средства автоматизации и алгоритм консенсуса для добавления IP-адресов в общие списки блокировки. Кроме того, утечка раскрыла ранее не публиковавшиеся параметры этого алгоритма — в частности, пороги числа обнаружений, необходимых для блокировки адреса. CrowdSec считает, что подменить содержимое блоклиста по-прежнему нельзя: для этого потребовались бы десятки сигналов от доверенных движков в десятках независимых сетей. Компания добавила, что может менять эти пороги и делает это регулярно.

В архиве также были адреса электронной почты 83 пользователей CrowdSec и имена, адреса и сведения об инвестиционном контексте 51 потенциального инвестора за 2020 год. Компания намерена уведомить затронутых пользователей, инвесторов и органы власти. Единственными ещё пригодными учётными данными в утечке, по оценке CrowdSec, были реквизиты AWS SNS, позволявшие публиковать сообщения лишь в одном топике. Попытка воспользоваться ими 17 августа не привела к дальнейшему доступу. Остальные токены, как утверждает компания, уже были отозваны либо не могли использоваться из интернета.

CrowdSec заменила скомпрометированные учётные данные 16 и 17 сентября. Компания также начала использовать защитное ПО на ноутбуках сотрудников, работающих с её кодом или системами: ранее такого требования не было.

Новый отчёт CrowdSec уточняет её первоначальное заявление от 17 сентября. Тогда компания утверждала, что данные клиентов, включая имена, организации и учётные данные, не утекли, а последствия ограничены самой CrowdSec. В отчёте от 18 сентября она уже подтвердила раскрытие адресов 83 пользователей и сведений о потенциальных инвесторах, а также уточнила, что вредоносных версий TanStack не нашли в кодовой базе CrowdSec: источником доступа назван аккаунт бывшего сотрудника.