网络安全研究人员发现了一个 “大规模 ”活动，它以暴露的 Git 配置为目标，虹吸凭证、克隆私有软件源，甚至从源代码中提取云凭证。

据估计，这次代号为 EMERALDWHALE 的活动已经收集了超过 10,000 个私有软件源，并存储在亚马逊 S3 存储桶中，该存储桶属于之前的一名受害者。该存储桶包含不少于 15,000 个被盗凭据，亚马逊已将其删除。

Sysdig在一份报告中说：“被盗凭证属于云服务提供商（CSP）、电子邮件提供商和其他服务。网络钓鱼和垃圾邮件似乎是窃取凭据的主要目的。”

这一多层面的犯罪行动虽然并不复杂，但已被发现利用了大量私人工具来窃取凭证，以及抓取 Git 配置文件、Laravel .env 文件和原始网络数据。它并不属于任何已知的威胁行为者或组织。

EMERALDWHALE 所采用的工具集利用广泛的 IP 地址范围，以暴露了 Git 仓库配置文件的服务器为目标，发现相关主机并提取和验证凭证。

这些窃取的令牌随后被用于克隆公共和私有仓库，并抓取嵌入源代码中的更多凭证。捕获的信息最后上传到 S3 存储桶。

威胁行为者用来实现其目标的两个著名程序是 MZR V2 和 Seyzo-v2，这两个程序在地下市场上出售，能够接受 IP 地址列表作为输入，用于扫描和利用暴露的 Git 仓库。

这些列表通常是使用 Google Dorks 和 Shodan 等合法搜索引擎以及 MASSCAN 等扫描工具编制的。

更重要的是，Sysdig 的分析发现，一份包含 67,000 多个路径为“/.git/config ”的 URL 的列表正在通过 Telegram 以 100 美元的价格出售，这表明 Git 配置文件存在市场。

Sysdig研究员米格尔-埃尔南德斯（Miguel Hernández）说：“EMERALDWHALE除了瞄准Git配置文件，还瞄准了暴露的Laravel环境文件。.env文件包含大量凭证，包括云服务提供商和数据库。”

“凭证地下市场正在蓬勃发展，尤其是云服务。这次攻击表明，仅靠秘密管理不足以确保环境安全。”