Een aanvaller die toegang tot de ontwikkelomgeving van softwarebedrijf Codecov wist te krijgen is erin geslaagd om twee maandenlang malware in een script van het bedrijf te verbergen dat wachtwoorden, tokens en keys van klanten buitmaakte. Dat heeft Codecov via de eigen website bekendgemaakt.

Codecov is de aanbieder van Bash Uploader, een script waarmee klanten hun "code coverage" rapporten voor analyse naar Codecov kunnen sturen. Op 31 januari wist een aanvaller toegang tot een Google Cloud Storage (GCS) key van Codecov te krijgen en kon zo het script aanpassen. Zodra klanten het script uitvoeren kon er allerlei vertrouwelijke informatie zoals credentials, tokens of keys naar een server van de aanvaller worden gestuurd.

Volgens Codecov heeft probleem zich voorgedaan door een fout bij het proces dat voor het maken van Docker-images wordt gebruikt. Hierdoor kon de aanvaller de eerder genoemde key achterhalen en zo toegang krijgen om het Bash Uploader-script aan te passen. De malafide aanpassing werd op 1 april ontdekt door een klant die de shasum van het script op GitHub vergeleek met die van de gedownloade Bash Uploader. Die waardes bleken niet overeen te komen.

Het onderzoek dat volgde wees uit dat het script al twee maanden eerder was aangepast. De Bash Uploader wordt ook binnen andere tools van Codecov gebruikt. Het softwarebedrijf heeft gedupeerde klanten gewaarschuwd en adviseert om credentials, tokens en keys van ontwikkelomgevingen waar Bash Uploader is gebruikt te wijzigen.