OpenAI revoga certificado de assinatura das aplicações para macOS após risco na cadeia de abastecimento
A OpenAI anunciou que vai revogar o certificado de assinatura das suas aplicações para macOS, na sequência de um incidente envolvendo uma biblioteca Axios comprometida - uma biblioteca popular para trabalhar com pedidos HTTP em JavaScript e Node.js - que estava a ser usada no processo de compilação. Embora não tenha sido encontrada qualquer indicação de comprometimento de dados, a empresa optou por agir de forma preventiva.
O problema surgiu devido a um ataque à cadeia de abastecimento: os atacantes introduziram uma dependência maliciosa no pacote Axios do npm. Segundo a Google Threat Intelligence Group, o ataque foi atribuído ao grupo norte-coreano UNC1069. Os atacantes conseguiram aceder à conta do mantenedor do pacote e publicar versões infectadas, que incluíam a dependência plain-crypto-js, capaz de implementar a porta dos fundos WAVESHAPER.V2 em Windows, macOS e Linux.
A OpenAI confirmou que um dos seus processos GitHub Actions, utilizado para assinar aplicações para macOS, descarregou e executou a versão comprometida do Axios (1.14.1). Esse fluxo de trabalho tinha acesso ao certificado de assinatura e a vários artefactos, incluindo ChatGPT Desktop, Codex, Codex CLI e Atlas.
Ainda assim, a análise interna indicou que o código malicioso, muito provavelmente, não conseguiu extrair o certificado - devido à forma como as tarefas foram executadas e ao momento em que a biblioteca foi carregada no processo. Não foram encontrados sinais de acesso a dados de utilizadores, sistemas internos ou alterações ao software.
Apesar disso, a empresa decidiu tratar o certificado como potencialmente comprometido. O certificado foi revogado e substituído, e as versões antigas das aplicações deixarão de receber atualizações e suporte a partir de 8 de maio. O macOS passará a bloquear, por defeito, a execução de aplicações assinadas com o certificado antigo.
A OpenAI está também a trabalhar com a Apple para evitar qualquer possibilidade de nova comprometimento de software assinado com o certificado anterior. Os utilizadores têm 30 dias para atualizar para as novas versões das aplicações.
Este incidente faz parte de uma vaga mais ampla de ataques à cadeia de abastecimento em projetos open-source. Para além do Axios, a infraestrutura do analisador de vulnerabilidades Trivy também foi comprometida, o que levou à disseminação de código malicioso através de pipelines de CI/CD e dependências em vários ecossistemas.
Como resultado destes ataques, centenas de milhares de segredos e credenciais podem ter sido comprometidos. Os atacantes usaram-nos para avançar para ambientes de nuvem e SaaS, bem como para distribuir software malicioso, incluindo ferramentas de controlo remoto e programas de ransomware.
Este tipo de ataque é particularmente perigoso porque explora a confiança básica dos programadores em bibliotecas de terceiros. Como referem os especialistas em cibersegurança, a proteção exige uma transição da confiança implícita para uma verificação rigorosa das dependências, o isolamento dos ambientes de execução e a utilização de credenciais com validade limitada no tempo.
Comentários
Ainda não há comentários. Seja o primeiro!
Deixar um comentário