Coder 的注册表基础设施被入侵，用于推送恶意模块

攻击者入侵了 Coder 的 Cloudflare 基础设施，并添加了未经授权的注册表服务器，这些服务器投递了包含凭据窃取代码的恶意 Terraform 模块。
Coder 平台使组织能够为开发者提供安全、自托管的云开发环境，用于构建和部署软件，包括 AI 应用。
该项目被著名的私营和政府组织使用，包括 Dropbox、Palantir、Square、Mercedes-Benz、KKR、EnBW、美国政府以及国防公司。
本周早些时候，Coder 披露一名攻击者针对 registry.coder.com——该项目的软件包托管站点，开发者使用它来获取其工作区模板的组件。
虽然 Coder 的注册表运行在 Cloudflare 之后，但攻击者访问了其底层基础设施，并向注册表的服务器池中添加了未经授权的服务器。
结果，Cloudflare 将一些注册表请求路由到攻击者的服务器，而非 Coder 的合法服务器，向一部分用户投递了恶意文件。
"一名身份不明的恶意行为者获得了 Coder 的 Cloudflare 基础设施的访问权限，并向用于 Coder 模块注册表的服务器池中添加了未经授权的 IP 地址，"Coder 的公告中写道。
"这些未经授权的 IP 地址托管了一个 Coder 注册表版本，其中包含带有恶意代码的工件。"
该项目表示，恶意工件的投递窗口在周一（8 月 31 日）07:35 UTC 至 21:45 UTC 之间。
在此期间，恶意服务器投递了修改版 Terraform 模块——这些是用于创建和配置计算基础设施的现成指令包。
据 Coder 称，这些恶意模块在受感染主机上充当信息窃取器，搜索：
Provisioner 环境变量和密钥
云基础设施和 AI 工具 API 密钥
CI/CD 凭据
配置文件密钥和终端历史
用户 OIDC 令牌
已配置的 SSH 密钥
一次性外部认证令牌
当 provisioner 在"coderd"内运行时，Coder 数据库密码和其他配置密钥
收集到的信息被外泄到仿冒域名"coder-infra[.]com"。
建议可能受影响的用户尽快轮换上述列表中所有受影响的密钥。
在升级到修复版本（2.37.0、2.36.4、2.35.7 和 2.34.9）之前，Coder 建议用户检查防火墙、代理、DNS 和 VPC 流日志中是否有到 coder-infra[.]com 的连接。
开发者还应搜索 provisioner 日志中的 data.external.telemetry，识别暴露窗口期间下载的模块，并清除可能恶意的缓存包。
为帮助用户确定是否受到影响，Coder 分享了一个 SQL 查询，可以识别可能受影响的缓存模块和模板版本。
该项目表示，刷新令牌未传递给 provisioner，且没有证据表明其维护的客户数据受到任何影响。
然而，由于攻击者的基础设施不受该项目控制，Coder 无法访问关键日志，也无法确切识别每一个被入侵的部署。