网络安全研究人员发现了一个 “大规模 ”活动，它以暴露的 Git 配置为目标，虹吸凭证、克隆私有软件源，甚至从源代码中提取云凭证。
据估计，这次代号为 EMERALDWHALE 的活动已经收集了超过 10,000 个私有软件源，并存储在亚马逊 S3 存储桶中，该存储桶属于之前的一名受害者。该存储桶包含不少于 15,000 个被盗凭据，亚马逊已将其删除。
Sysdig在一份报告中说：“被盗凭证属于云服务提供商（CSP）、电子邮件提供商和其他服务。网络钓鱼和垃圾邮件似乎是窃取凭据的主要目的。”
这一多层面的犯罪行动虽然并不复杂，但已被发现利用了大量私人工具来窃取凭证，以及抓取 Git 配置文件、Laravel .env 文件和原始网络数据。它并不属于任何已知的威胁行为者或组织。
EMERALDWHALE 所采用的工具集利用广泛的 IP 地址范围，以暴露了 Git 仓库配置文件的服务器为目标，发现相关主机并提取和验证凭证。
这些窃取的令牌随后被用于克隆公共和私有仓库，并抓取嵌入源代码中的更多凭证。捕获的信息最后上传到 S3 存储桶。
威胁行为者用来实现其目标的两个著名程序是 MZR V2 和 Seyzo-v2，这两个程序在地下市场上出售，能够接受 IP 地址列表作为输入，用于扫描和利用暴露的 Git 仓库。
这些列表通常是使用 Google Dorks 和 Shodan 等合法搜索引擎以及 MASSCAN 等扫描工具编制的。
更重要的是，Sysdig 的分析发现，一份包含 67,000 多个路径为“/.git/config ”的 URL 的列表正在通过 Telegram 以 100 美元的价格出售，这表明 Git 配置文件存在市场。
Sysdig研究员米格尔-埃尔南德斯（Miguel Hernández）说：“EMERALDWHALE除了瞄准Git配置文件，还瞄准了暴露的Laravel环境文件。.env文件包含大量凭证，包括云服务提供商和数据库。”
“凭证地下市场正在蓬勃发展，尤其是云服务。这次攻击表明，仅靠秘密管理不足以确保环境安全。”
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容