Ataque masivo de fuerza bruta contra los usuarios de GitHub

En principio, según GitHub, parece ser que el ataque se ha originado desde unas 40.000 IPs, lo que hace pensar que proviene de una botnet. Aunque aun se encuentran investigando el impacto del ataque, algunas cuentas han sido bloqueadas debido a que se ha detectado actividad desde las IPs atacantes, lo cual indica que el ataque de fuerza bruta ha tenido éxito sobre algunas cuentas de usuario.

No se comenta que tipo de actividad, pero desde una cuenta de usuario de GitHub se puede manipular código de un repositorio. GitHub permite editar el código directamente desde su interfaz web, o añadir claves privadas que permiten operar desde remoto contra el repositorio.

Respecto de las defensas de GitHub, tienen limitado el número de autenticaciones fallidas por cuenta, lo que ha motivado que el ataque se haya efectuado “a fuego lento” con un ratio bajo de prueba-error por cada cuenta de usuario. Los atacantes intentaron permanecer por debajo del radar.

No se conoce cuando se inició el ataque, pero revisando el histórico de seguridad algunos usuarios han detectado IPs desde ciertos países ajenos a ellos con intentos de hace más de cinco días.

Desde GitHub recomiendan revisar el histórico de seguridad, crear una contraseña fuerte y activar autenticación de dos factores.

Llama la atención una cosa: A partir de ahora GitHub no permitirá crear una contraseña débil. O lo que es lo mismo: GitHub permitía hasta hoy, como otros tantos sitios, crear una contraseña débil. Esto, junto con la práctica de compartir la misma credencial en varios sitios, es un eslabón demasiado frágil que está siendo aprovechado por los atacantes. Sirva de ejemplo el reciente ataque a Adobe, donde las contraseñas de los usuarios, cifradas inadecuadamente, también servían para autenticarse en otros sitios no relacionados.

El ataque que estamos comentando es muy sonoro, prácticamente casi todos los usuarios tienen registros de intentos fallidos de autenticación, eso no pasa sin ser detectado ya que produce demasiado ruido a pesar de que el ataque ha limitado su ratio de intentos.

¿Pero que hubiera ocurrido si hubiesen concentrado el ataque en unos pocos proyectos grandes, con muchos desarrolladores, donde una pequeña cuenta es capaz de inyectar un trozo de código que pasase desapercibido entre multitud de líneas?

Weak passwords brute forced

About Two-Factor Authentication

GitHub Security

una-al-dia (05/11/2013) Adobe, la tormenta después de la tormenta