Supply chain-aanval op Nx leidt tot diefstal van GitHub-tokens en data
Via een supply chain-aanval op de populaire ontwikkeltool Nx is data buitgemaakt. Onder meer ruim 1.000 geldige GitHub-tokens, zo’n 20.000 bestanden en tientallen cloud- en npm-referenties zijn gestolen.
Dat blijkt uit onderzoek van beveiligingsbedrijf Wiz. Aanvallers wisten besmette versies van Nx te plaatsen in het officiële npm-register, waardoor malware onopgemerkt gevoelige data kon verzamelen. Onder de buit bevonden zich GitHub-tokens, cryptowallets en SSH-sleutels, die vervolgens in publieke GitHub-repositories van slachtoffers werden geplaatst. Deze repositories waren ongeveer acht uur lang openbaar toegankelijk, waardoor de blootgestelde gegevens door iedereen gedownload konden worden.
Uit het onderzoek komt naar voren dat 90 procent van de gelekte GitHub-tokens en 61 procent van de npm-tokens nog steeds actief en bruikbaar zijn. Dit vergroot het risico op verdere misbruik of inbreuken. Meer informatie is hier te vinden.
Meer over Security
Over Wouter Hoeffnagel
