Operesheni ya kimataifa inayoitwa Emeraldwhale imelenga usanidi usio sahihi wa Git, na kusababisha wizi wa zaidi ya vitambulisho 15,000 vya huduma ya wingu. Kulingana na Timu ya Utafiti ya Tishio ya Sysdig (TRT), wavamizi walitumia mchanganyiko wa zana za kibinafsi kutumia huduma za wavuti zilizowekwa vibaya, kupata ufikiaji usioidhinishwa wa vitambulisho vya wingu, kuunda hazina za kibinafsi na kutoa taarifa nyeti. Kiwango cha Ukiukaji Ukiukaji huu uliruhusu ufikiaji wa hazina za kibinafsi zaidi ya 10,000, na data iliyoibiwa iliyohifadhiwa kwenye ndoo ya Amazon S3 iliyounganishwa na mwathirika wa hapo awali. Kitambulisho kilichofichuliwa kinajumuisha safu mbalimbali za huduma, ikiwa ni pamoja na watoa huduma za wingu (CSPs) na majukwaa ya barua pepe, huku kampeni za kuhadaa ili kupata maelezo ya kibinafsi na barua taka zikitajwa kuwa sababu kuu za wizi. Kando na matumizi ya moja kwa moja, stakabadhi hizi zilizoibwa ni muhimu kwenye soko za chinichini, ambapo zinaweza kuleta mamia ya dola kwa kila akaunti. Zana na Mbinu Zinazotumiwa na Washambulizi Dalili za awali za uvunjaji huu zilionekana wakati mtambo wa asali wa Sysdig TRT ulipogundua simu isiyoidhinishwa ya ListBuckets, na kusababisha ugunduzi wa ndoo iliyoathiriwa ya S3 iliyo na zaidi ya terabaiti ya data nyeti. Uchunguzi ulifichua zana zenye uwezo wa kukwangua faili za usanidi wa Git zilizofichuliwa na data zingine za wavuti, zikiwemo faili za Laravel .env, ili kuvuna stakabadhi. Soma zaidi kuhusu athari za kiusalama kwenye mtandao: Wahalifu wa Mtandao hutumia Hifadhi ya Wingu Kwa Ulaghai wa Kuhadaa kwa SMS Zana ya zana ya Emeraldwhale huchanganua kiotomatiki, kutoa na kuthibitisha tokeni zilizoibwa, kuruhusu wavamizi kuunda hazina za umma na za kibinafsi huku wakitafuta vitambulisho vya ziada ndani. Kuhusiana na zana ya zana, kampeni kubwa ya kuchanganua ililenga faili zilizofichuliwa za usanidi wa Git kwenye maelfu ya seva, inayowezeshwa na zana huria zinazopatikana bila malipo kama vile httpx. Operesheni hii inaangazia hatari ya usalama inayoletwa na saraka za .git kufichuliwa kwa sababu ya usanidi usiofaa wa seva ya wavuti, ambayo washambuliaji walitumia vibaya kupata maelezo nyeti ya hazina. Soko la zana za uvunaji wa hati tambulishi, ikiwa ni pamoja na MZR V2 na Seyzo-v2, linastawi, na zana hizi kuwezesha uchapishaji wa kiotomatiki wa utambazaji wa IP na uchimbaji wa vitambulisho kwa kampeni za barua taka na za kuhadaa ili kupata maelezo ya kibinafsi. Zana hizi zinapatikana kwa urahisi katika masoko ya chinichini, ambapo mara nyingi huwekwa pamoja na kozi za mbinu za wizi wa kitambulisho. “Soko la chini ya ardhi la vitambulisho linakua, haswa kwa huduma za wingu. Shambulio hili linaonyesha kuwa usimamizi wa siri pekee hautoshi kulinda mazingira. Kuna maeneo mengi sana stakabadhi zinaweza kuvuja,” Sysdig alionya. “Kufuatilia tabia ya vitambulisho vyovyote vinavyohusishwa na vitambulisho inakuwa hitaji la kulinda dhidi ya vitisho hivi.”