网络安全公司Rapid7源代码泄漏-低调大师

网络安全公司Rapid7源代码泄漏

2021-05-18 585

近日，据BleepingComputer报道，美国网络安全公司Rapid7披露遭遇了Codecov供应链攻击，部分源代码存储库在网络攻击事件中泄漏。

Rapid7已通知可能受到此漏洞影响的“一小部分客户”，以采取措施减轻任何潜在风险。

仅访问内部凭证和工具源代码

Rapid7声称，攻击者只能访问存储库的“一小部分”，其中包括Rapid7的托管检测和响应(MDR)服务内部工具的源代码。

Rapid7透露：“这些(泄漏的)存储库包含一些内部凭证，这些凭证目前都已经被轮换，此外还包括一部分客户的MDR警报相关的数据。攻击者没有访问其他公司系统或生产环境，也没有对这些存储库进行未经授权的更改。”

这家网络安全公司补充说，上个月供应链攻击中被黑客入侵的Codecov工具并未用于其生产代码。

Rapid7说：“我们对Codecov的Bash Uploader脚本的使用很有限：仅在用于测试和开发托管检测和响应(MDR)服务的一些内部工具的单一CI服务器上设置。我们没有在用于生产代码的任何CI服务器上使用Codecov。”

黑客窃取了开发人员凭证、源代码

拥有超过29,000家企业企业客户的流行代码覆盖解决方案公司Codecov于4月15日披露，未知攻击者恶意更改了其Bash Uploader脚本。

Codecov供应链攻击者可以从客户的持续集成(CI)环境中收集敏感信息(例如凭据、令牌或API密钥)，并将其发送到攻击者控制的服务器。

数天后，联邦调查人员发现，Codecov黑客将被盗凭证的测试过程自动化，从而成功入侵了数百个Codecov客户的网络。

在4月1日披露攻击事件两周后，Codecov才开始通知受供应链攻击影响的客户，告知他们未知攻击者可能已经下载了客户的源代码存储库。

Codecov的客户之一，开源软件制造商HashiCorp透露，用于签名和验证软件版本的代码签名GPG私钥已在攻击中暴露。

云通信公司Twilio还透露，它也受到了Codecov供应链攻击的影响，但关键系统没有受到影响。

建议Codecov客户尽快扫描其网络和CI/CD环境，以检测是否遭到攻击。

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

微信关注我们

原文链接：http://zhuanlan.51cto.com/art/202105/662870.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

看拜登政府网络安全行政令的七大举措

尽管缺乏明确的定义，但拜登政府新发布的行政令可能比过去的更为有效，尤其是在Colonial Pipeline攻击之后。主要石油管道供应商Colonial Pipeline遭受勒索软件攻击瘫痪。在经历了戏剧性的一周之后，拜登政府发布了备受关注的《改善国家网络安全行政令》，或产生深远而复杂的影响。该行政令旨在描绘“改善国家网络安全和保护联邦政府网络的新路线”。这份雄心勃勃的文件从SolarWinds和Microsoft Exchange供应链攻击，以及Colonial Pipeline勒索软件感染出发，提出了一系列最小化此类网络安全事件频率和后果的举措。这些举措包括： 1. 消除政府与私营行业之间共享威胁信息的障碍，重点确保IT服务提供商能够与美国联邦政府共享安全事件信息。 2. 现代化并实现更强的联邦政府网络安全标准，包括迁移到云服务和零信任架构，以及采用多因子身份验证(MFA)和强制加密。 3. 提升软件供应链安全，包括为出售给政府的软件制定软件开发基线安全标准。美国商务部必须公布软件材料清单(SBOM)的必备要素，跟踪构成软件的各个组件。 4. 建立由政府和私营产业专家组成的网...

2021-05-18

473

近日，据外媒报道称，保险巨头AXA集团在泰国、马来西亚、中国香港和菲律宾的分支机构遭到了勒索软件网络攻击。针对此事，Avaddon勒索软件小组在其泄密网站上声称，他们从AXA亚洲业务中窃取了3TB的敏感数据。根据该组织的说法，Avaddon获得的泄露数据包括客户的医疗报告(暴露其性健康诊断)、身份证复印件、银行账户对账单、索赔表、付款记录以及合同等等。讽刺的是，就在大约一周前，这家全球保险业务巨头刚刚宣布，将停止向法国客户提供勒索软件赔付服务的政策，这也是保险行业首次终止勒索软件赔付业务。不知道，此次针对AXA的勒索软件攻击是不是来自勒索团伙的报复行为。勒索软件组织攻击了AXA的亚洲办事处上周(5月15日)，Avaddon勒索软件组织声称对攻击保险巨头AXA在亚洲分支机构一事负责。此外，该组织还称，AXA在泰国、马来西亚、中国香港和菲律宾的网站受到了激烈的DDoS攻击，致使其较长时间内无法访问： Avaddon勒索软件团伙于2021年1月首次宣布，他们将发动DDoS攻击，以摧毁受害者的网站或网络，直到他们“举白旗”并开始就支付赎金进行谈判为止。 Avaddon宣布针对AXA系...

2021-05-18

523

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。