Совместный анализ выкуп нападение на репозитории кода, размещенного на GitHub, GitLab и компании Atlassian оба ранее в этом месяце подтвердил , что именно в результате пользователи непреднамеренно утечка данных доступа.

Сотни пользователей обнаружили, что их государственных и частных хранилищ был уничтожен, с файла, содержащего требование о выкупе добавил к ним.

Если пользователей, чьи учетные записи были скомпрометированы заплатил 0.1 биткоина (около$1,140 как публикации) в течение десяти дней, чтобы восстановить свои данные, злоумышленники угрожали сделать код общедоступным “или использовать их иным образом”.

Личность вымогателя еще не был обнаружен, но человек или народ остается активной угрозы.

Хотя выкуп-перестала принимать по 2 мая, сканирует открытые .в git/config и подобные файлы среду, которая может содержать конфиденциальные данные и личные жетоны доступа продолжались в течение восьми дней после того, с того же адреса интернет-протокола, что скомпрометированные учетные записи пользователей.

Небольшое количество – 0.00052525 или около$4.30 – отправлено в злоумышленника биткоин-адрес остается неизменным.

Группы безопасности в три открытый исходный код репозиторий хостинг расследованию теракта нашли свалку законных учетных данных пользователей на тот же провайдер, с которого приступы у него возникла, и аннулированных им, чтобы предотвратить дальнейшие компромиссы.

На GitHub, Bitbucket и Гитлаб теперь уверены, что инцидент был, чтобы пользователи случайно выставляя полномочия и личные жетоны доступа на собственных серверах, а не за счет самих код услуги хостинга компрометации.

Все три git-репозиториев предложить многофакторную проверку подлинности для учетных записей, и рекомендуют пользователям включить функцию безопасности, наряду с сильные и уникальные пароли.

Тем не менее, личные жетоны доступа должна быть обеспечена безопасность, так как они могут обойти многофакторную проверку подлинности и открыть хранилища, такие как пароли, читать и писать к ним доступ.

Это известная проблема безопасности, пользователи еще раз предупреждают, чтобы не подвергать .git’а .каталоги с git/config и файлы в государственных хранилищах и веб-серверов, если они содержат учетные данные для доступа.

GitHub и Гитлаб может сканировать жетоны и предупредить поставщиков услуг, если они имеют опубликованные учетные данные для доступа в государственных хранилищах.

Тут Bitbucket позволяет администраторам требуют 2FA для пользователей и поддерживает Белые списки для ограничения доступа к определенным IP-адресам, в качестве дополнительной меры безопасности.

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here