CEO Vercel: jangkauan serangannya melampaui Context.ai, dan telah memberi tahu korban lain yang diduga

CEO Vercel Guillermo Rauch pada 22 April, waktu Pasifik Amerika Serikat, memposting di X mengenai kemajuan penyelidikan keamanan, menyatakan bahwa tim penyelidik telah memproses hampir 1 PB log seluruh jaringan dan API Vercel, dan ruang lingkup penyelidikan jauh melampaui insiden peretasan Context.ai. Rauch menyebut bahwa penyerang mencuri kunci akun Vercel dengan menyebarkan perangkat lunak berbahaya ke komputer, dan telah memberi tahu para korban.

Vektor Serangan dan Pola Perilaku: Detail Penyelidikan

Berdasarkan halaman penyelidikan keamanan Vercel dan posting publik Guillermo Rauch di X, kejadian ini berasal dari aplikasi Google Workspace OAuth dari alat AI pihak ketiga Context.ai yang digunakan oleh seorang karyawan Vercel yang mengalami kompromi. Penyerang memperoleh akses melalui alat tersebut, secara bertahap mendapatkan akun pribadi karyawan tersebut untuk Google Workspace Vercel dan juga akun Vercel; setelah masuk ke lingkungan Vercel, mereka melakukan enumerasi sistematis dan mendekripsi variabel lingkungan yang tidak sensitif.

Rauch dalam postingannya di X menunjukkan bahwa, setelah penyerang mendapatkan kunci, log memperlihatkan mereka segera melakukan pemanggilan API yang cepat dan menyeluruh, dengan fokus pada enumerasi variabel lingkungan yang tidak sensitif, membentuk pola perilaku yang dapat dikenali ulang. Vercel menilai bahwa penyerang memiliki pengetahuan mendalam tentang antarmuka API produk Vercel, dengan tingkat kemampuan teknis yang sangat tinggi.

Temuan Tambahan setelah Perluasan Penyelidikan dan Kolaborasi Industri

Berdasarkan pembaruan keamanan Vercel tanggal 22 April, setelah perluasan penyelidikan, dikonfirmasi dua temuan tambahan:

· Ditemukan bahwa sejumlah kecil akun lain telah disusupi dalam insiden ini; pelanggan yang terdampak telah diberi tahu

· Ditemukan bahwa sejumlah kecil akun pelanggan memiliki catatan peretasan sebelumnya yang tidak terkait dengan insiden ini; diduga berasal dari rekayasa sosial, perangkat lunak berbahaya, atau cara lainnya, dan pelanggan terkait telah diberi tahu

Vercel telah memperdalam kerja sama dengan mitra industri seperti Microsoft, AWS, dan Wiz, serta berkolaborasi dengan Google Mandiant dan aparat penegak hukum untuk menyelidiki.

Berdasarkan pembaruan keamanan Vercel tanggal 20 April, tim keamanan Vercel bekerja sama dengan GitHub, Microsoft, npm, dan Socket untuk mengonfirmasi bahwa semua paket npm yang diterbitkan oleh Vercel tidak terdampak, tidak ada bukti manipulasi, dan penilaian keamanan rantai pasokan berjalan normal. Vercel juga mengungkapkan indikator kompromi (IOC) untuk verifikasi komunitas, termasuk ID aplikasi OAuth terkait: 110671459871-30f1spbu0hptbs60cb4vsmv79i7bbvqj.apps.googleusercontent.com; Vercel menyarankan administrator Google Workspace untuk mengonfirmasi apakah mereka menggunakan aplikasi di atas.

Pertanyaan yang Sering Diajukan

Apa vektor serangan mendasar untuk insiden keamanan Vercel ini?

Berdasarkan halaman penyelidikan keamanan Vercel, insiden ini berasal dari aplikasi Google Workspace OAuth dari alat AI pihak ketiga Context.ai yang digunakan oleh seorang karyawan Vercel yang mengalami kompromi; penyerang memperoleh akses melalui alat tersebut, secara bertahap mendapatkan akun Vercel karyawan tersebut, lalu masuk ke lingkungan Vercel untuk melakukan enumerasi dan mendekripsi variabel lingkungan yang tidak sensitif.

Apakah cakupan serangan yang dikonfirmasi oleh CEO Vercel sudah melampaui insiden awal Context.ai?

Berdasarkan posting publik Guillermo Rauch di X pada 22 April, waktu Pasifik Amerika Serikat, intelijen ancaman menunjukkan bahwa aktivitas penyerang telah melampaui ruang lingkup peretasan tunggal Context.ai; mereka mencuri kunci akses banyak penyedia layanan melalui perangkat lunak berbahaya di jaringan yang lebih luas, dan tersangka korban lainnya telah diberi tahu untuk mengganti kredensial.

Apakah paket npm yang diterbitkan oleh Vercel terpengaruh oleh insiden keamanan ini?

Berdasarkan pembaruan keamanan Vercel tanggal 20 April, tim keamanan Vercel bekerja sama dengan GitHub, Microsoft, npm, dan Socket untuk mengonfirmasi bahwa semua paket npm yang diterbitkan oleh Vercel tidak terdampak, tidak ada bukti manipulasi, dan penilaian keamanan rantai pasokan berjalan normal.