Softwarebedrijf HashiCorp heeft de GPG private key die het gebruikt voor het signeren van software vervangen nadat aanvallers hier toegang toe hebben gekregen. Het bedrijf is één van de slachtoffers van de aanval op softwarebedrijf Codecov.

Codecov ontwikkelt tools voor het auditen van software. Zo kunnen softwareontwikkelaars kijken hoeveel van hun code door interne testscripts is getest. Eén van deze tools is Bash Uploader, die onder andere met GitHub-projecten is te integreren. Volgens Codecov wordt de tool door meer dan 29.000 bedrijven wereldwijd gebruikt.

Begin dit jaar wisten aanvallers de ontwikkelomgeving van Bash Uploader te compromitteren en voegden code toe die inloggegevens steelt zodra de tool wordt uitgevoerd. Vervolgens werden deze gegevens naar een server van de aanvallers gestuurd. De backdoor, die op 31 januari van dit jaar werd toegevoegd, bleef twee maandenlang verborgen.

HashiCorp is één van de bedrijven die van Bash Uploader gebruikmaakt. Uit onderzoek blijkt dat de aanvallers zo toegang hebben gekregen de tot de GPG private key die wordt gebruikt voor het signeren en verifieren van software. HashiCorp zegt dat het geen misbruik van de GPG-sleutel heeft waargenomen. "Om vertrouwen in het signeermechanisme te behouden is die vervangen", aldus het softwarebedrijf. Bestaande software is opnieuw gecontroleerd en gesigneerd met de nieuw private key.

Het softwarebedrijf komt nog met een update voor de Terraform-oplossing die het aanbiedt. Deze softwaretool downloadt automatisch bestanden en controleert de digitale handtekening. De patch zal ervoor dat zorgen dat de nieuwe GPG-sleutel wordt gebruikt. Het onderzoek naar de impact van de aanval is nog gaande. HashiCorp zal eventuele nieuwe ontwikkelingen via deze pagina bekendmaken.