Un ataque vinculado a Corea del Norte comprometió una biblioteca de desarrolladores ampliamente utilizada, exponiendo certificados usados para firmar las aplicaciones de macOS de OpenAI.
Bloomberg / Getty Images
OpenAI está requiriendo que todos los usuarios de macOS actualicen sus aplicaciones de OpenAI después de que un ataque a la cadena de suministro comprometiera una biblioteca de un desarrollador de terceros y expusiera certificados utilizados para verificar la autenticidad de las aplicaciones de la empresa.
En el centro de la brecha estaba Axios, una biblioteca de JavaScript con amplia adopción entre los desarrolladores. Según Forbes, se subieron paquetes alterados al registro npm el 31 de marzo, portando malware de troyano de acceso remoto. La ventana de exposición duró aproximadamente tres horas antes de que los paquetes fueran retirados. Una campaña de ingeniería social dirigida dio al atacante un punto de apoyo en la máquina del mantenedor principal; desde allí, se robaron las credenciales de la cuenta npm y se usaron para enviar los paquetes envenenados. Se cree que el ataque está vinculado a Corea del Norte.
Uno de esos paquetes envenenados fue descargado y ejecutado por un flujo de trabajo de GitHub Actions que operaba dentro de la infraestructura de OpenAI, dijo la empresa. Los certificados y el material de notarización vinculados a varios productos de macOS — ChatGPT Desktop, Codex, Codex-cli y Atlas — eran accesibles para ese mismo flujo de trabajo.
Basado en una revisión interna que evaluó el momento de la intrusión junto con otras evidencias, OpenAI evaluó que es muy probable que el certificado de firma nunca fuera robado exitosamente. OpenAI declaró además que nada en su investigación apuntaba a un acceso no autorizado a datos de usuarios, manipulación de su software o robo de sistemas o propiedad intelectual. Las contraseñas de usuario y las claves de API se mantuvieron seguras en todo momento. OpenAI rastreó el problema subyacente a una mala configuración dentro del flujo de trabajo afectado de GitHub Actions y dijo que el problema ha sido corregido.
Como medida de precaución, OpenAI retiró y volvió a emitir los certificados de sus aplicaciones macOS que se utilizan para demostrar su autenticidad. Ese paso requiere que todos los usuarios actualicen a las últimas versiones de esas aplicaciones. Los usuarios que no actualicen enfrentan una fecha límite estricta: a partir del 8 de mayo, las versiones no parcheadas serán cortadas del soporte y podrían dejar de funcionar.
La rotación de certificados tiene menos que ver con una amenaza activa y más con cerrar incluso la más remota posibilidad de que alguien pueda explotar material de firma antiguo para hacer pasar una aplicación falsificada como un producto genuino de OpenAI.
Únete a más de 500.000 lectores que comienzan su día con Quartz.
Al suscribirte, aceptas nuestros Términos de servicio y Política de privacidad.
