Un grupo de investigadores identificó una campaña masiva denominada EMERALDWHALE. Los atacantes se valieron de configuraciones inseguras del sistema de control de versiones Git. El ataque afectó a más de 10.000 repositorios.
Detección y eliminación por parte de Amazon
Amazon detectó la actividad sospechosa y eliminó el servidor, que contenía más de 15.000 credenciales robadas. Las credenciales obtenidas incluyen información de acceso a servicios en la nube, proveedores de correo electrónico y otros servicios.
Objetivo principal del ataque
El objetivo principal de los atacantes es utilizar estas credenciales para realizar ataques de phishing y enviar spam. Los criminales han utilizado herramientas para buscar archivos de configuración de Git y archivos de entorno .env de Laravel.
Herramientas utilizadas por el equipo detrás del ataque
El equipo detrás de EMERALDWHALE utiliza herramientas como MZR V2 y Seyzo-v2, que se venden en mercados clandestinos, para encontrar repositorios vulnerables.
Venta de URLs con rutas .git/config
Una lista con más de 67.000 URLs que incluyen la ruta .git/config se está vendiendo a través de Telegram.