Gentoo ist wie berichtet vor einigen Tagen Opfer eines Einbruchs auf ihren Github-Seiten geworden. Nun haben die Entwickler die Analyse des Angriffs abgeschlossen.

Die Meldung, dass sich Angreifer Zugang zu der Github-Seite des Projekts erschlichen haben, kam wie berichtet Ende Juni. Die Angreifer veränderten dort diverse Dateien und schleusten Schadcode in dort liegende Gentoo-Repositories ein. Der wurde rasch entfernt.

Im jetzt vorliegenden Bericht zum Vorfall sind drei Repositories genannt, die über einen gewissen Zeitraum Schadcode enthalten haben. Die Verzeichnisse “gentoo/gentoo”; “gentoo/musl” und “gentoo/systemd” sind genannt. Wer zwischen dem 28. Juni und dem 29 Juni von diesen Repositories geklont hat, sollte die Prozedur wiederholen. Im Report auf Github sind zusätzlich die Uhrzeiten (UTC) genannt.

Der Angreifer sei an ein Passwort eines Administrators gelangt, berichten die Entwickler. Es habe sich nach derzeitiger Beweislage um ein Passwort gehandelt, dass der Admin auf einer anderen Seite eingesetzt habe, die Angreifer konnten es dort abgreifen und dann für die Github-Instanz das simple Passwortschema anwenden. Die Angreifer konnten allerdings nicht identifiziert werden, auch nicht über die nun bereit stehenden Github-Logs und Audit.

Die Github-Seiten waren für die Gentoo-Nutzer etwa fünf Tage lang nicht erreichbar. Gentoo betreibt eine eigene Infrastruktur, die unbehelligt geblieben sei, spiegelt aber auf Github. Durch den Angriff sind alle in der Vergangenheit getätigten Pull-Requests verschwunden, es bleibe abzuwarten, ob dies noch seitens Github gefixt werden könne, berichtet Gentoo.

In einem Fazit sehen die Entwickler einige positiv gelaufene Dinge, dazu zählt die schnelle Reaktionszeit von Gentoo und Github. Schlecht gelaufen sei die Kommunikation, die auf zu viele verschiedenen Stellen verteilt und nicht immer verständlich gewesen sei. Als Glücksfall wertet Gentoo den Umstand, dass die Attacke brachial gewesen sei, was sofortige Aufmerksamkeit erregt habe. Es sei keine gute Idee der Angreifer gewesen, alle Accounts zu entfernen, an die dann jeweils Benachrichtigungs-Mails gehen, schreiben die Entwickler.