搜索

[7049] 2020-11-10_FBI发出安全警告黑客窃取了美国政府机构和私人企业的源代码

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-17
2020-11-10_FBI发出安全警告黑客窃取了美国政府机构和私人企业的源代码 F B I 发 出 安 全 警 告 : 黑 客 窃 取 了 美 国 政 府 机 构 和 私 人 企 业 的 源 代 码 小 E   E 安 全   2 0 2 0 - 1 1 - 1 0 E 安 全 安 全 1 1 月 月 1 0 日 讯 日 讯     据 外 媒 报 道 ， 日 前 ， F B I   发 出 了 一 个 安 全 警 报 ， 其 警 告 威 胁 行 为 者 正 在 滥 用 配 置 错 误 的   S o n a r Q u b e   应 用 以 访 问 并 窃 取 美 国 政 府 机 构 和 私 人 企 业 的 源 代 码 库 。 F B I 在 上 个 月 发 出 并 于 本 周 在 其 网 站 上 公 布 的 一 份 警 告 中 指 出 ， 至 少 从 2 0 2 0 年 4 月 就 已 经 开 始 了 这 种 类 型 的 攻 击 事 件 。 该 警 报 特 别 警 告 S o n a r Q u b e 的 所 有 者 。 S o n a r Q u b e 是 一 个 基 于 w e b 的 应 用 ， 各 家 公 司 将 其 集 成 到 自 己 的 软 件 构 建 链 中 ， 以 便 在 将 代 码 和 应 用 投 入 到 生 产 环 境 之 前 测 试 源 代 码 并 发 现 安 全 缺 陷 。
S o n a r Q u b e 应 用 被 安 装 在   w e b 服 务 器 上 并 连 接 到 源 代 码 托 管 系 统 ， 如   B i t B u c k e t 、 G i t H u b 、 G i t L a b   a c c o u n t s   或   A z u r e   D e v O p s   s y s t e m s 。 但 F B I 表 示 ， 一 些 公 司 没 有 保 护 这 些 系 统 ， 它 们 使 用 的 是 默 认 的 管 理 凭 证 ( a d m i n / a d m i n ) 并 在 默 认 配 置 （ 端 口   9 0 0 0 ） 上 运 行 。 F B I 官 员 称 ， 威 胁 者 滥 用 这 些 错 误 配 置 来 访 问   S o n a r Q u b e   具 体 目 标 并 将 其 转 移 到 连 接 的 源 代 码 库 ， 然 后 访 问 和 窃 取 私 有 、 敏 感 的 应 用 程 序 。 F B I   的 警 告 触 及 了 一 个 软 件 开 发 人 员 和 安 全 研 究 人 员 很 少 知 道 的 问 题 。 网 络 安 全 行 业 经 常 就   M o n g o D B   或   E l a s t i c s e a r c h   数 据 库 在 没 有 密 码 的 情 况 下 暴 露 在 网 上 的 危 险 发 出 警 告 ， 但   S o n a r Q u b e 却 没 有 受 到 影 响 。 然 而 一 些 安 全 研 究 人 员 早 在   2 0 1 8   年   5   月 就 已 经 就 让   S o n a r Q u b e   应 用 在 网 上 暴 露 默 认 证 书 的 危 险 发 出 过 警 告 。
当 时 ， 数 据 泄 露 猎 人   B o b   D i a c h e n k o   警 告 称 ， 那 个 时 候 在 线 可 用 的 约   3 0 0 0   个   S o n a r Q u b e   实 例 中 有   3 0 %   到   4 0 %   没 有 启 用 密 码 或 身 份 验 证 机 制 。 今 年 ， 瑞 士 安 全 研 究 员   T i l l   K o t t m a n n   也 提 出 了   S o n a r Q u b e   实 例 配 置 不 当 的 同 样 问 题 。 据 悉 ， K o t t m a n n   在 一 年 的 时 间 中 通 过 一 个 公 共 门 户 网 站 收 集 了 数 十 家 科 技 公 司 的 源 代 码 ， 其 中 很 多 都 来 自 S o n a r Q u b e 应 用 程 序 。 为 了 防 止 这 样 的 泄 露 ， F B I   的 警 告 列 出 了 公 司 可 以 采 取 的 一 系 列 保 护 措 施 ， 首 先 是 改 变 应 用 的 默 认 配 置 和 凭 证 ， 然 后 使 用 防 火 墙 来 防 止 未 经 授 权 的 用 户 对 应 用 进 行 未 经 授 权 的 访 问 。 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 产 业 规 模 2 . 2 万 亿 元     增 速 2 5 %     万 物 互 联 之 下 ， 如 何 守 护 物 联 网 安 全 ？ |   E 周 刊 还 在 用 思 科 的 W e b e x 会 议 进 行 远 程 工 作 ? 思 科 警 告 ： 现 在 就 打 补 丁 吧 ！ 拜 登 当 选 ！ 官 员 们 开 始 警 惕 潜 在 的 网 络 威 胁 安 恒 信 息 控 股 “ 恒 芯 安 全 ” 正 式 揭 牌 ， 物 联 网 安 全 “ 芯 ” 定 义 ！ 宾 州 选 票 有 问 题 ？ 美 国 总 统 大 选 出 现 了 一 大 批 虚 假 信 息
▼ 稿 件 合 作     1 5 5 5 8 1 9 2 9 5 9     小 E 微 信 号 ： E a n q u a n 0 9 1 4 喜 欢 记 得 打 赏 小 E 哦 ！ 我 就 知 道 你 “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理