Megalodon крадёт учётные данные CI/CD, выполняясь на серверах после коммита. Он похищает ключи AWS, токены Google Cloud, SSH-ключи, конфигурации Docker и Kubernetes, токены Vault, данные Terraform и сканирует код на секреты с помощью более 30 регулярных выражений.
В 2018 году Microsoft купила GitHub за $7,5 млрд. Разработчики опасались, но ждали. Спустя восемь лет GitHub борется за выживание: частые сбои, уязвимости, давление конкурентов.
GitHub подтвердил взлом около 3800 репозиториев из-за вредоносного расширения VS Code, установленного сотрудником. Расширение удалили, устройство обезопасили.
Исследователь безопасности Гийом Валадон из GitGuardian обнаружил в открытом доступе учетные данные, дающие доступ к системам CISA и Министерства внутренней безопасности США.
Команда GitHub мгновенно отреагировала на сообщение о критической уязвимости. В течение 40 минут проблему воспроизвели в тестовой среде и подтвердили её серьёзность.
