CrowdSec在9月18日表示，一名攻击者于5月22日使用一名刚离职员工的账户复制了大约170个CrowdSec的私人GitHub仓库。
这家法国安全公司在其GitHub访问权限上没有进行关闭。CrowdSec表示，该员工的笔记本电脑在5月份对TanStack的供应链攻击中被入侵，恶意版本的TanStack npm包从开发者的机器上窃取了凭证。
代码在9月16日出现在一个在线论坛上。该代码除了源代码外，还包含了83名CrowdSec用户的电子邮件地址，以及51名潜在投资者的姓名、电子邮件地址和投资背景，CrowdSec表示。
CrowdSec表示，该账户仅用于复制代码，其基础设施和数据库没有被访问，且没有代码被更改。
代码是如何被获取的
5月11日，42个TanStack npm包的84个恶意版本被发布。该漏洞被追踪为CVE-2026-45321。根据TanStack的公告，安装其中一个版本会运行代码，窃取机器上的凭证，包括GitHub令牌、SSH密钥和云凭证。
该公司表示，复制是在11天后使用前员工账户的GitHub OAuth令牌进行的。公司保留了他的访问权限，以便他完成一些工作。
CrowdSec在5月25日将他的账户从其GitHub组织中移除，复制发生后三天，且在得知泄露之前的几个月内。该员工的其他访问权限已经被移除，CrowdSec表示这解释了为什么在其AWS系统中没有看到可疑活动。
该令牌在其可以检查的GitHub日志中没有留下痕迹，并且在得知泄露时已经不存在。它表示GitHub支持随后追踪了该令牌的历史，并确认了其怀疑TanStack是源头。
CrowdSec没有说明哪个恶意包到达了前员工的笔记本电脑或何时到达，其报告也不包括GitHub的调查结果。它表示其开发者的机器经过检查，结果是干净的。
同样的攻击也影响了其他公司。Mistral AI表示其案例中涉及了一台开发者设备，而OpenAI表示有两台员工设备受到影响，未经授权访问了其内部代码仓库的有限集。
档案中包含了什么
CrowdSec的开源安全引擎检测服务器上的攻击，分享其检测的用户会收到一个共享的恶意IP地址黑名单。泄露的代码来自公司的私人仓库，而不是这个公共引擎。
根据该公司，代码包括其网络控制台、数据科学脚本和模型、自动化脚本，以及决定哪些IP地址被添加到黑名单的共识算法。
它表示该代码几乎有四个月的历史，自那时以来发生了很大变化。
CrowdSec表示，泄露还揭示了共识算法使用的阈值，例如在将IP地址添加到黑名单之前需要多少次检测。这些在之前并未公开。
据它所知，黑名单仍然无法被污染，这意味着不会被欺骗以阻止一个无害的IP地址。它表示攻击者需要从多个独立网络的多个受信任引擎中获得数十次检测，这将付出巨大的代价。CrowdSec还表示，它可以更改阈值，正如它经常做的那样。
根据该公司，泄露中唯一可用的凭证是AWS的SNS通知服务，它只能向一个主题发布消息。有人在8月17日尝试使用它，在代码发布前一个月，但没有进一步的进展。根据该公司的说法，代码中的其他令牌已经被轮换或无法从互联网使用。
CrowdSec表示，它大约有150,000名用户。其数据科学团队保留了83个暴露的电子邮件地址，以研究人们如何使用该产品，该公司表示将联系这些用户。
投资者的详细信息来自于CrowdSec表示从未打算公开的2020年系统。该公司表示将向投资者和当局报告泄露事件。首席执行官Philippe Humeau在报告中写信给投资者表示：“对此我个人表示歉意。”
受影响的公司在9月16日和17日轮换了暴露的凭证。当时并未要求开发者机器上安装端点保护软件，但现在对与其代码或系统合作的员工的笔记本电脑上运行此类软件。
CrowdSec的报告和其首次声明都没有要求用户采取任何行动。
CrowdSec账户的变化
CrowdSec在9月18日的报告与其前一天发布的首次声明有所不同。在该声明中，CrowdSec表示“没有客户数据、登录/密码、姓名、组织或其他任何内容被泄露”，并且影响仅限于公司。
首次声明还将TanStack的妥协命名为泄露的非常可能来源。它表示CrowdSec内部使用的一个组件在5月似乎被植入后门，以窃取可以读取私人代码的API密钥。
9月18日的报告表示，在CrowdSec的代码中没有发现任何恶意的TanStack版本，而是指向了前员工的账户。它还列出了投资者的姓名，而首次声明表示这些姓名没有泄露，以及83名用户的电子邮件地址。
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。