Investigadores han descubierto una campaña denominada EMERALDWHALE que se centra en la explotación de configuraciones Git expuestas con el objetivo de robar credenciales, clonar repositorios privados y extraer información sensible del código fuente. Esta actividad se considera masiva debido a su alcance y los recursos empleados.
Robo masivo de credenciales
Según el informe publicado por Sysdig, la campaña recopiló más de 10.000 repositorios privados y almacenó los datos en un depósito de Amazon S3 que pertenecía a una víctima anterior. Este depósito incluía no menos de 15.000 credenciales robadas, las cuales fueron eliminados posteriormente por Amazon.
Las credenciales obtenidas pertenecen principalmente a proveedores de servicios en la nube (CSP), proveedores de correo electrónico y otros servicios. El phishing y el spam parecen ser los objetivos principales del robo de estas credenciales.
Herramientas utilizadas
La operación criminal multifacética, aunque no es sofisticada, emplea un arsenal de herramientas privadas para extraer archivos de configuración de Git, archivos .env de Laravel y datos web sin procesar. No se ha atribuido a ningún actor o grupo de amenazas conocido.
El conjunto de herramientas utilizado por EMERALDWHALE permite el descubrimiento de hosts relevantes y la extracción y validación de credenciales, dirigiéndose principalmente a servidores con archivos de configuración de repositorios Git expuestos mediante amplios rangos de direcciones IP.
Procesos y técnicas empleadas
Los tokens robados se utilizan posteriormente para clonar repositorios públicos y privados, obteniendo más credenciales integradas en el código fuente. La información capturada se carga finalmente en el depósito S3.
Dos programas destacados que el actor de amenazas utiliza son MZR V2 (MIZARU) by @kosov2 y Seyzo-v2, herramientas vendidas en mercados clandestinos. Estas herramientas aceptan listas de direcciones IP como entradas para escanear y explotar repositorios Git expuestos.
Estas listas se compilan normalmente utilizando motores de búsqueda legítimos como Google Dorks y Shodan, así como utilidades de escaneo como MASSCAN. La herramienta descubierta incluye un README con instrucciones para seguir todo el proceso.
Este es el único archivo escrito en inglés; los comentarios en scripts y otros archivos están en francés. MZR V2 está compuesto por una colección de scripts de Python y scripts de shell. El primer script, gitfinder.sh, utiliza la herramienta httpx para escanear la lista de IPs de destino.
Existencia de mercado para datos expuestos
El análisis de Sysdig descubrió que una lista que comprende más de 67.000 URL con la ruta «/.git/config» expuesta se ofrece a la venta a través de Telegram por $100, lo que indica que existe un mercado para los archivos de configuración de Git.
Objetivo adicional: archivos .env de Laravel
Además de apuntar a los archivos de configuración de Git, EMERALDWHALE también se dirige a los archivos de entorno de Laravel expuestos. Estos archivos contienen una gran cantidad de credenciales, incluidos proveedores de servicios en la nube y bases de datos.
El mercado clandestino de credenciales está en auge, especialmente para los servicios en la nube. Este ataque demuestra que la gestión de secretos por sí sola no es suficiente para proteger un entorno.