大规模 Git 配置漏洞暴露 1.5 万个凭证;克隆 1 万个私有存储库

阅读量29901

发布时间 : 2024-11-04 11:25:09

x
译文声明

本文是翻译文章,文章原作者 Ravie Lakshmanan,文章来源:TheHackersNews

原文地址:https://thehackernews.com/2024/11/massive-git-config-breach-exposes-15000.html

译文仅供参考,具体内容表达以及含义原文为准。

网络安全研究人员发现了一个 “大规模 ”活动,它以暴露的 Git 配置为目标,虹吸凭证、克隆私有软件源,甚至从源代码中提取云凭证。

据估计,这次代号为 EMERALDWHALE 的活动已经收集了超过 10,000 个私有软件源,并存储在亚马逊 S3 存储桶中,该存储桶属于之前的一名受害者。该存储桶包含不少于 15,000 个被盗凭据,亚马逊已将其删除。

Sysdig在一份报告中说:“被盗凭证属于云服务提供商(CSP)、电子邮件提供商和其他服务。网络钓鱼和垃圾邮件似乎是窃取凭据的主要目的。”

 

这一多层面的犯罪行动虽然并不复杂,但已被发现利用了大量私人工具来窃取凭证,以及抓取 Git 配置文件、Laravel .env 文件和原始网络数据。它并不属于任何已知的威胁行为者或组织。

EMERALDWHALE 所采用的工具集利用广泛的 IP 地址范围,以暴露了 Git 仓库配置文件的服务器为目标,发现相关主机并提取和验证凭证。

这些窃取的令牌随后被用于克隆公共和私有仓库,并抓取嵌入源代码中的更多凭证。捕获的信息最后上传到 S3 存储桶。

 

威胁行为者用来实现其目标的两个著名程序是 MZR V2 和 Seyzo-v2,这两个程序在地下市场上出售,能够接受 IP 地址列表作为输入,用于扫描和利用暴露的 Git 仓库。

这些列表通常是使用 Google Dorks 和 Shodan 等合法搜索引擎以及 MASSCAN 等扫描工具编制的。

 

更重要的是,Sysdig 的分析发现,一份包含 67,000 多个路径为“/.git/config ”的 URL 的列表正在通过 Telegram 以 100 美元的价格出售,这表明 Git 配置文件存在市场。

Sysdig研究员米格尔-埃尔南德斯(Miguel Hernández)说:“EMERALDWHALE除了瞄准Git配置文件,还瞄准了暴露的Laravel环境文件。.env文件包含大量凭证,包括云服务提供商和数据库。”

“凭证地下市场正在蓬勃发展,尤其是云服务。这次攻击表明,仅靠秘密管理不足以确保环境安全。”

本文翻译自TheHackersNews 原文链接。如若转载请注明出处。
分享到:微信
+10赞
收藏
安全客
分享到:微信

发表评论

内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66