Ein mit Nordkorea verbundener Angriff kompromittierte eine weit verbreitete Entwicklerbibliothek und legte Zertifikate offen, die zum Signieren von OpenAIs macOS-Apps verwendet werden.
Bloomberg / Getty Images
OpenAI fordert alle macOS-Benutzer auf, ihre OpenAI-Apps zu aktualisieren nachdem ein Supply-Chain-Angriff eine Entwicklerbibliothek eines Drittanbieters kompromittiert und Zertifikate offengelegt hatte, die zur Überprüfung der Authentizität der Anwendungen des Unternehmens verwendet wurden.
Im Zentrum des Verstoßes stand Axios, eine JavaScript-Bibliothek mit weit verbreiteter Verwendung unter Entwicklern. Laut Forbes, wurden am 31. März manipulierte Pakete in das npm-Register hochgeladen, die Remote-Access-Trojaner-Malware enthielten. Das Fenster der Exposition dauerte etwa drei Stunden, bevor die Pakete entfernt wurden. Eine gezielte Social-Engineering-Kampagne verschaffte dem Angreifer einen Fuß in die Tür auf dem Rechner des Hauptbetreuers; von dort wurden npm-Kontozugangsdaten gestohlen und verwendet, um die vergifteten Pakete zu verbreiten. Der Angriff wird mit Nordkorea in Verbindung gebracht.
Eines dieser vergifteten Pakete wurde heruntergeladen und von einem GitHub Actions-Workflow ausgeführt, der innerhalb der Infrastruktur von OpenAI operiert, sagte das Unternehmen. Zertifikate und Notarisierungsmaterialien, die mit mehreren macOS-Produkten – ChatGPT Desktop, Codex, Codex-cli und Atlas – verbunden sind, waren für denselben Workflow zugänglich.
Basierend auf einer internen Überprüfung, die den Zeitpunkt des Eindringens zusammen mit anderen Beweisen abwog, schätzte OpenAI, dass das Signaturzertifikat aller Wahrscheinlichkeit nach nie erfolgreich gestohlen wurde. OpenAI erklärte weiter, dass nichts in seiner Untersuchung auf einen unbefugten Zugriff auf Benutzerdaten, Manipulation der Software oder Diebstahl von Systemen oder geistigem Eigentum hinweist. Benutzerpasswörter und API-Schlüssel blieben während der gesamten Zeit sicher. OpenAI führte das zugrunde liegende Problem auf eine Fehlkonfiguration innerhalb des betroffenen GitHub Actions-Workflows zurück und erklärte, das Problem sei behoben.
Als Vorsichtsmaßnahme hat OpenAI die Zertifikate, auf die sich seine macOS-Apps zur Überprüfung ihrer Authentizität stützen, zurückgezogen und neu ausgestellt. Dieser Schritt erfordert, dass alle Benutzer auf die neuesten Versionen dieser Apps aktualisieren. Benutzer, die nicht aktualisieren, stehen vor einer harten Frist: Ab dem 8. Mai werden ungepatchte Versionen von der Unterstützung abgeschnitten und könnten aufhören zu funktionieren.
Die Zertifikatsrotation betrifft weniger eine aktive Bedrohung als vielmehr die Schließung auch der entferntesten Möglichkeit, dass jemand altes Signiermaterial ausnutzen könnte, um eine gefälschte Anwendung als echtes OpenAI-Produkt auszugeben.
Schließen Sie sich über 500.000 Lesern an, die ihren Tag mit Quartz beginnen.
Mit dem Abonnieren stimmen Sie unseren Nutzungsbedingungen und unserer Datenschutzrichtlinie zu.
