Четверг, 21 января, 11:38
дома безопасность ФБР: хакеры воруют исходный код у служб и компаний США

ФБР: хакеры воруют исходный код у служб и компаний США

Это ФБР предупредил, что киберпреступники эксплуатируются SonarQube приложений неправильно настроен для кражи репозиториев исходного кода государственными органами и предприятий (в частном секторе) США.

ФБР

Атаки продолжаются с апреля 2020 года, сообщает ФБР на своем сайте.

Предупреждение ФБР адресовано его владельцам. SonarQube, веб-приложение, которое компании интегрироваться в их "цепочки сборки программного обеспечения" для тестирования исходного кода и обнаружения ошибок безопасность перед выпуском кода и приложений.

Приложения SonarQube устанавливаются на веб-серверы и подключаются к системам размещения исходного кода, таким как учетные записи BitBucket, GitHub, GitLab или системы Azure DevOps.

Однако, по данным ФБР, некоторые государственные учреждения и компании оставили эти системы незащищенными, выполняя это конфигурация по умолчанию их (в порту 9000) и с учетные данные администратора по умолчанию (админ / админ).

ФБР говорит, что Хакеры воспользуйтесь этой конфигурацией, чтобы иметь доступ в приложениях SonarQube, что позволяет им получить доступ к связанным репозиториям исходного кода. Таким образом, они могут украсть и украсть частные / конфиденциальные приложения и информацию.

Специалисты по безопасности подробно рассказали о двух из них. нарушения что произошло в предыдущие месяцы:

В августе 2020 года неизвестно Хакеры подвергается внутреннему воздействию данные двумя организациями с помощью общедоступного репозитория жизненного цикла. Похищенные данные поступили из приложений SonarQube, которые использовали настройки по умолчанию и учетные данные администратора.».

В другом месте они говорят: «Эта деятельность аналогична предыдущей утечке данных, которая произошла в июле 2020 года, когда (идентифицированный) преступник извлек исходный код у предприятий через небезопасные приложения SonarQube и опубликовал этот исходный код в общедоступном репозитории.».

Это предупреждение ФБР касается хорошо известной проблемы для разработчиков программного обеспечения и экспертов по безопасности.

исходный код

В большинстве случаев есть предупреждения об опасности незащищенных баз данные MongoDB ή Elasticsearch (например, открытые базы данных в Интернете без паролей), но SonarQube не уделяется особого внимания.

Тем не менее, некоторые исследователи безопасности предупреждают об опасности открытых приложений SonarQube с учетными данными по умолчанию еще в мае 2018 г..

Тогда аналитик Боб Дьяченко сказал, что около 30-40% всех приложений SonarQube (~ 3.000) доступны на Интернет, у них не было активированного пароля или механизма аутентификации.

В этом году швейцарский исследователь безопасности по имени Тилль Коттман, также поднял ту же проблему. В течение года Коттманн скомпилировал исходный код десятков технологических компаний на общедоступном портале. Во многих случаях этот исходный код поступал из приложений SonarQube.

Большинство людей, похоже, вообще не меняют какие-либо настройки в SonarQube.", - сказал Коттманн ZDNet.

Я не знаю текущего количества отображаемых приложений SonarQube. Я полагаю, что есть еще более 1.000 серверов, которые "уязвимы" либо из-за отсутствия аутентификации, либо из-за учетных данных по умолчанию.", Добавил он.

По мнению ФБР, правительственные агентства и бизнес должны предпринять некоторые шаги для защиты SonarQube. серверы их. Некоторые из них:

  • Изменить настройки по умолчанию
  • Изменить учетные данные по умолчанию
  • Используйте брандмауэр для предотвращения несанкционированного доступа к приложению

ОСТАВИТЬ ОТВЕТ

Пожалуйста, введите ваш комментарий!
Пожалуйста, введите ваше имя здесь

Цифровая Крепость
Цифровая Крепостьhttps://www.secnews.gr
Осуществляйте свои мечты и живите!

ЖИВЫЕ НОВОСТИ

COVID-19: Amazon хочет помочь Байдену распространять вакцины

Amazon предложила помочь президенту Байдену распространять вакцины от COVID-19. Письмо от Дэйва Кларка, вице-президента ...

Nitro PDF: утечка базы данных с 77 миллионами пользовательских файлов!

20 января хакер просочился из украденной базы данных, содержащей адреса электронной почты, имена и пароли для более ...

Хакеры бесплатно предоставляют онлайн 2 миллиона пользовательских файлов Pixlr!

Хакеры слили 2 миллиона пользовательских файлов Pixlr, содержащих информацию, которую затем можно было использовать для выполнения ...
00: 02: 09

Дональд Трамп: Спасибо Лилу Уэйну, а не Джулиану Ассанжу!

Уходящий президент США Дональд Трамп наградит сегодня рэпером Лилом Уэйном последнюю волну помилования, которая ...
00: 02: 28

НАСА: использует ИИ для поиска новых кратеров на Марсе

https://www.youtube.com/watch?v=e8qCSD3fA50 Τα τελευταία 15 χρόνια, το Mars Reconnaissance Orbiter της NASA περιφέρεται γύρω από τον Άρη μελετώντας...

Windows 10: как просмотреть недавно установленные обновления

Microsoft часто обновляет Windows 10, но не всегда ясно, когда устанавливается каждое обновление. К счастью, есть два простых способа ...

Lorex запускает звонок с камерой 2K, которая распознает лица

Lorex запускает новое устройство для умных домов - звонок под названием «2K QHD Wired Video Doorbell with Person ...

Осведомленности о безопасности недостаточно для борьбы с угрозами

За последние годы в борьбе с киберугрозами произошли существенные изменения. Человеческий фактор теперь серьезно относится к безопасности. Например,...

MeWe: набрал 2,5 миллиона пользователей за неделю!

Социальная сеть MeWe значительно увеличила количество пользователей после скандала с WhatsApp.

Поддельные приложения для совместной работы «заражают» сотрудников и воруют данные!

С началом пандемии COVID-19 большой процент организаций подвергся атакам вредоносных программ на удаленные устройства, когда сотрудники работают ...