EMERALDWHALE использует уязвимые конфигурационные файлы Git

Группа исследования угроз Sysdig (TRT) раскрыла глобальную операцию, известную как EMERALDWHALE, которая похитила более 15 000 учетных данных облачных сервисов, используя открытые файлы конфигурации Git.

EMERALDWHALE использовала множество частных инструментов для эксплуатации нескольких неправильно сконфигурированных веб-сервисов, в результате чего были похищены учетные данные из более чем 10 000 частных репозиториев.

Хотя основными целями операции были поставщики облачных услуг и электронной почты, конечной целью, как полагают, была фишинговая и спамерская деятельность. За собранные учетные данные можно было выручить сотни долларов с каждой учетной записи, а дополнительную прибыль можно было получить от продажи списков целевых пользователей на различных онлайн-площадках.

Обнаружение этой кампании подчеркивает ключевую уязвимость безопасности в цифровом ландшафте: управление секретами, хотя и имеет решающее значение, само по себе недостаточно. Существует огромное количество способов, с помощью которых учетные данные могут быть непреднамеренно раскрыты.

Обнаружение EMERALDWHALE

Впервые об этой операции стало известно, когда Sysdig TRT, наблюдая за облачной системой honeypot, обнаружила аномальный вызов ListBuckets, использовавшийся со скомпрометированной учетной записью. Эта активность указывала на ведро S3 под названием «s3simplisitter», которое, что примечательно, не принадлежало Sysdig, но было общедоступным.

В ходе расследования было установлено, что в этом ведре хранится более терабайта данных, включая скомпрометированные учетные данные и журналы, что еще раз подтверждает многостороннюю атаку, включающую веб-скрептинг конфигурационных файлов Git, файлов окружения Laravel и дополнительных веб-данных.

Эксплуатация открытых файлов конфигурации Git

В августе-сентябре EMERALDWHALE провела масштабное сканирование, направленное на поиск серверов с открытыми конфигурационными файлами Git-репозитория. В результате проверки были обнаружены огромные массивы уязвимых данных в Интернете, что стало возможным благодаря инструментам с открытым исходным кодом, таким как httpx, используемым при сканировании.

Git известен как система параллельных версий, инструмент, который в значительной степени полагается на конфигурационные файлы. Если каталог .git становится открытым - часто из-за неправильной конфигурации веб-сервера, - злоумышленники могут воспользоваться ценными данными о репозитории и получить доступ к конфиденциальной информации о проекте.

EMERALDWHALE использовал эти ошибки в конфигурации для извлечения, сбора и монетизации утечки информации.

Инструменты и мотивы

В операции использовались некоторые ключевые инструменты, которые часто продаются на подпольных рынках. Двумя такими инструментами, выявленными в ходе расследования, являются MZR V2 (MIZARU) и Seyzo-v2.

• MZR V2: MZR V2, состоящий из Python и shell-скриптов, исследует IP-адреса для выявления неправильно настроенных файлов .git/config и последующей проверки потенциальных учетных данных. После кражи учетные данные используются для клонирования как публичных, так и частных репозиториев в поисках дальнейших извлечений конфиденциальных данных.

• Seyzo-v2: Этот набор инструментов использует методологию, схожую с MZR V2, но выполняет более тщательный поиск учетных данных у SMTP, SMS и облачных провайдеров.

Мотивация этих атак отражает растущую тенденцию сбора учетных данных - прибыльное и малорискованное предприятие для киберпреступников. Благодаря доступным инструментам и инструкциям злоумышленники могут автоматизировать свои действия, сводя к минимуму прямую угрозу или личный риск.

Операция EMERALDWHALE подчеркивает распространенную проблему цифровой эры. Утечка учетных данных является серьезной проблемой, которая усугубляется неадекватными настройками конфигурации и широким использованием стандартных настроек безопасности.

Осознание того, что управление секретами, хотя и очень важно, является частью многоуровневых стратегий безопасности, помогает подчеркнуть острую необходимость комплексного управления рисками и сканирования уязвимостей. Проводя тщательный внутренний и внешний аудит, хранители конфиденциальных данных смогут лучше защититься от проникновения.

Несмотря на то что EMERALDWHALE не отличался высокой степенью сложности, ему удалось похитить более 15 000 учетных данных, просто воспользовавшись существующими ошибками в системе безопасности, в частности открытыми конфигурационными файлами Git. Эти инциденты еще раз подтверждают уязвимость существующих систем, в которых частные хранилища, несмотря на иллюзорную защиту, могут стать непреднамеренными точками входа для злоумышленников.