Penyerang targetkan pengguna GitHub, GitLab, dan Bitbucket, menghapus kode dan commit dari beberapa repositori dan hanya meninggalkan catatan ransom.
Target yang memiliki repo mereka terpengaruh menggunakan beberapa platform manajemen repositori Git, dengan satu-satunya koneksi lain selain Git adalah bahwa para korban menggunakan klien Git cross-platform SourceTree gratis.
Setelah menyusup ke repo korban dan menghapus semua riwayat commit, penyerang hanya akan meninggalkan satu komit bernama ‘warning‘ yang berisi satu file dengan konten berikut (catatan ransom):
Catatan ransom “warning” ini meminta korban untuk mengirim 0,1 BTC, yang setara dengan sekitar $568, untuk mendapatkan kembali data mereka.
Pada platform BitcoinAbuse, alamat Bitcoin yang digunakan oleh penyerang sudah memiliki 27 laporan, dengan laporan pertama telah diajukan pada 2 Mei 2019.
Namun, ketika mencarinya di GitHub, kami menemukan 392 repositori yang terkena dampak yang membuat semua commit dan kode mereka dihapus menggunakan akun ‘gitbackup‘ yang bergabung dengan platform tujuh tahun lalu, pada 25 Januari 2012.
Meskipun demikian, tidak ada korban yang membayar ransom yang diminta penyerang, melihat bahwa alamat Bitcoin hanya menerima 0,00052525 BTC pada 3 Mei melalui satu transaksi, yang setara dengan sekitar $2,99.
Saat ini tidak ada rincian tentang bagaimana penyerang bisa mendapatkan akses ke akun korban, tetapi, seperti yang dikatakan oleh seorang pengguna StackExchange, meskipun ia telah mengaktifkan 2FA, ia “tidak pernah mendapat pesan teks yang menunjukkan mereka telah berhasil login secara brute.”
Satu laporan menyatakan bahwa GitHub telah menangguhkan akun dan menyelidiki setelah serangan terdeteksi: “GitHub menangguhkan akun saya tadi malam sementara mereka menyelidiki, semoga saya akan mendengar kabar dari mereka hari ini. Saya mungkin saja beruntung.”
Sementara ini, para pengguna telah berusaha keras untuk menemukan solusi untuk memperbaiki masalah, dengan diskusi yang sedang berlangsung tersedia di SINI dan kemungkinan perbaikan di postingan StackExchange ini.
