Джейсон Сайман, головний мейнтейнер Axios, поділився деталями того, як саме його хакнули

Пам’ятаєте нещодавно зловмисники хакнули Axios — один з найпопулярніших HTTP-клієнтів у світі?

Так от, нещодавно Джейсон Сайман, головний мейнтейнер Axios, запостив пост-мортем того, як його змогли зламати.

Як все відбулося

Хакери не шукали якихось zero-day вразливостей, не ламали інфраструктуру GitHub і не розшифровували трафік. Вони просто застосували дуже якісну, дорогу і до дрібниць продуману соціальну інженерію. Зловмисники вийшли на Джейсона, замаскувавшись під засновника цілком реальної компанії. Вони повністю скопіювали особистість керівника, бренд і запросили Саймана у спеціально створений фейковий Slack.

Цей воркспейс був налаштований просто ідеально. Там були активні канали з фейковими співробітниками, туди репостили реальні записи компанії з LinkedIn, там обговорювали якісь робочі процеси. Вони навіть створили фейкові профілі інших відомих open-source контриб’юторів, щоб остаточно приспати підозри. Якщо дивилися колись «Шоу Трумана», то можливо ви зараз зловите пару флешбеків :)

Далі настав етап безпосереднього контакту. Джейсону призначили відеодзвінок у Microsoft Teams нібито для знайомства з командою. Він підключається до мітингу, бачить групу людей, які ведуть професійну бесіду, і його рівень критичного мислення цілком природно падає. І саме в цей момент відбувається кульмінація. Під час розмови йому повідомляють, що у нього в системі бракує якогось компонента для нормального відображення чи роботи зв’язку. Йому підкидають файл, і розробник, будучи впевненим, що це банальний апдейт для Teams, власноруч встановлює його на свою робочу машину.

І цим файлом виявився троян. Все, game over. Отримавши доступ до його комп’ютера, хакери витягли його локальні сесії та токени від npm. Саме це дозволило їм опублікувати бекдор у версіях Axios напряму в реєстр пакетів, спокійно оминувши всі автоматичні перевірки коду та рев’юери на GitHub.

Ось так просто. Розробника критичного інструменту, від якого залежить половина світового вебу, зламали через звичайну довірливість і круту підготовку зловмисників.

Як не крути, але не дарма ж кажуть, що найслабша ланка в кібербезпеці — це завжди була і є людина :)