网络安全研究人员发现了一个 “大规模 ”活动,它以暴露的 Git 配置为目标,虹吸凭证、克隆私有软件源,甚至从源代码中提取云凭证。
据估计,这次代号为 EMERALDWHALE 的活动已经收集了超过 10,000 个私有软件源,并存储在亚马逊 S3 存储桶中,该存储桶属于之前的一名受害者。该存储桶包含不少于 15,000 个被盗凭据,亚马逊已将其删除。
Sysdig在一份报告中说:“被盗凭证属于云服务提供商(CSP)、电子邮件提供商和其他服务。网络钓鱼和垃圾邮件似乎是窃取凭据的主要目的。”
这一多层面的犯罪行动虽然并不复杂,但已被发现利用了大量私人工具来窃取凭证,以及抓取 Git 配置文件、Laravel .env 文件和原始网络数据。它并不属于任何已知的威胁行为者或组织。
EMERALDWHALE 所采用的工具集利用广泛的 IP 地址范围,以暴露了 Git 仓库配置文件的服务器为目标,发现相关主机并提取和验证凭证。
这些窃取的令牌随后被用于克隆公共和私有仓库,并抓取嵌入源代码中的更多凭证。捕获的信息最后上传到 S3 存储桶。
威胁行为者用来实现其目标的两个著名程序是 MZR V2 和 Seyzo-v2,这两个程序在地下市场上出售,能够接受 IP 地址列表作为输入,用于扫描和利用暴露的 Git 仓库。
这些列表通常是使用 Google Dorks 和 Shodan 等合法搜索引擎以及 MASSCAN 等扫描工具编制的。
更重要的是,Sysdig 的分析发现,一份包含 67,000 多个路径为“/.git/config ”的 URL 的列表正在通过 Telegram 以 100 美元的价格出售,这表明 Git 配置文件存在市场。
Sysdig研究员米格尔-埃尔南德斯(Miguel Hernández)说:“EMERALDWHALE除了瞄准Git配置文件,还瞄准了暴露的Laravel环境文件。.env文件包含大量凭证,包括云服务提供商和数据库。”
“凭证地下市场正在蓬勃发展,尤其是云服务。这次攻击表明,仅靠秘密管理不足以确保环境安全。”
发表评论
您还未登录,请先登录。
登录