В паблике найдены два миллиона Git-хранилищ с метаданными проектов

В паблике найдены два миллиона Git-хранилищ с метаданными проектов

В паблике найдены два миллиона Git-хранилищ с метаданными проектов

Исследователи из Cybernews обнаружили в интернете около 2 млн активных хостов с общедоступной директорией .git. Подобная оплошность грозит утечкой исходных кодов и облегчает задачу злоумышленникам, стремящимся получить доступ к системе.

Директория .git хранит информацию о развитии проекта — адреса удаленных репозиториев, историю версий и другие критически важные метаданные. Оставлять такие сведения в паблике рискованно, когда речь идет о безопасности пользователей и чистоте репутации компании.

Сканирование портов 80 и 443, обычно используемых веб-службами, выявило 1 931 148 «живых» IP-адресов, сливающих структуру каталогов проекта.

«Публичный доступ к директории .git ставит под удар сохранность исходников, — поясняет эксперт Cybernews Мартинас Варейкис (Martynas Vareikis). — Инструменты, необходимые для получения фрагментов или полного кода из папки .git, бесплатны и хорошо известны, что может спровоцировать еще больше внутренних утечек или облегчить получение доступа к системе в случае атаки».

Более 31% общедоступных директорий .git находятся в США, вторую позицию в непочетном списке занимает Китай (8%), третью — Германия (6,5%).

 

Исследователи также обнаружили, что порядка 6,3% публично доступных файлов конфигурации Git содержат учетные данные, позволяющие просматривать, создавать или удалять коммиты в репозиториях. Такое положение дел, по словам Варейкиса, открывает возможность для внедрения вредоносной рекламы, неавторизованного изменения контента, сбора платежных данных с помощью веб-скиммеров.

Эксперт рекомендует разработчикам в обязательном порядке использовать файл .gitignore для сокрытия конфиденциальных данных при фиксации изменений в проекте на GitHub. Также стоит озаботиться защитой доступа к публичным веб-серверам по IP-адресу, о которой часто забывают. В сложившейся практике правила контроля доступа устанавливаются только для основного домена, который юзеры быстро запоминают и обычно используют в запросах. Отсутствие такой же защиты для соответствующего IP позволяет, в числе прочего, изменить домен и настройки правил доступа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Новосибирске набирает обороты мошенничество от имени маркетплейсов

Новая мошенническая схема, зафиксированная в Новосибирске, является разновидностью известного с мая сценария с фальшивой доставкой, но с дополнительным элементом — целью аферистов становится «угон» аккаунта на портале Госуслуг. Злоумышленники выдают себя за сотрудников маркетплейсов и выстраивают диалог так, чтобы выманить у жертвы данные для восстановления учётной записи.

Как пишут местные СМИ, особенность атак на новосибирцев в том, что мошенники утверждают, будто заказ отправили в дальний пункт выдачи. Затем они предлагают переместить его в более удобный для жертвы пункт или даже обещают оформить бесплатную доставку на дом.

Для «переноса» заказа аферисты требуют назвать код из СМС, который на самом деле используется для восстановления учётной записи на Госуслугах. В аналогичной схеме, появившейся в мае, преступники также запрашивали номера документов, ИНН или СНИЛС.

Нередко схема двухэтапная: после «сотрудников маркетплейса» в разговор вступают «полицейские» или «представители Роскомнадзора». Они сообщают об «угоне» аккаунта на Госуслугах и якобы совершённых через него незаконных операциях, после чего убеждают перевести деньги на «безопасный счёт» или передать их «федеральному инкассатору».

Отсутствие реального заказа аферистам не мешает — они рассчитывают на то, что многие часто совершают покупки онлайн и не помнят все детали, что подтверждают читатели НГС, столкнувшиеся с этой схемой лично.

В пресс-службе Wildberries напомнили, что сотрудники маркетплейсов общаются с клиентами только через официальные каналы — чат поддержки в приложении или на сайте. Передача товара курьеру возможна лишь после сканирования индивидуального графического кода получения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru