Alerta: Mais de 80.000 senhas e arquivos de chaves de governos, bancos e empresas de tecnologia vazam na internet
- Pesquisadores descobrem mais de 80.000 senhas, chaves e arquivos sensíveis vazados expostos em ferramentas populares de formatação de código online.
- Governos, bancos, empresas de tecnologia e organizações de infraestrutura crítica estão sendo afetados, com atacantes já raspando e abusando dos dados expostos.
- A investigação também revela uma falha crítica de bypass de autenticação no Provedor Terraform do HashiCorp Vault, que afeta as configurações LDAP.
A empresa de cibersegurança watchTowr descobriu uma grande quantidade de senhas, chaves de acesso e arquivos de configuração sensíveis que foram expostos acidentalmente de ferramentas de formatação online populares, como JSON Formatter e CodeBeautify.
O watchTowr Labs disse que coletou um conjunto de dados contendo mais de 80.000 arquivos de sites usados para formatar e validar código. Dentro desses arquivos, os pesquisadores encontraram nomes de usuários, senhas, chaves de autenticação de repositórios, credenciais do Active Directory, strings de conexão de banco de dados, credenciais FTP, chaves de acesso a ambientes em nuvem, detalhes de configuração LDAP, chaves de API de helpdesk e até gravações de sessões SSH.
“Nós temos revirado plataformas que os desenvolvedores usam para formatar rapidamente suas entradas – como JSONFormatter e CodeBeautify. E sim, você está correto – foi exatamente tão ruim quanto você pode esperar”, diz o post do blog da watchTowr publicou na terça-feira.
Utilitários online como JSONFormatter e CodeBeautify destinam-se a embelezar ou validar formatos de dados, onde os desenvolvedores colam trechos de código ou arquivos de configuração neles para solucionar problemas de formatação. Mas, de acordo com os pesquisadores, muitos funcionários estão colando inadvertidamente arquivos inteiros que contêm segredos ativos de sistemas de produção.
JSONFormatter e CodeBeautify vazam dados de governos, bancos e saúde
De acordo com a empresa de segurança, o vazamento de dados ainda não afetou três plataformas, incluindo repositórios do GitHub, espaços de trabalho do Postman e contêineres do DockerHub. No entanto, ela encontrou cinco anos de conteúdo histórico do JSONFormatter e um ano de conteúdo histórico do CodeBeautify, totalizando mais de 5 gigabytes de material JSON enriquecido e anotado.
“A popularidade é tão grande que o único desenvolvedor por trás dessas ferramentas está bastante inspirado – uma visita típica à página inicial de qualquer ferramenta gera mais de 500 solicitações web rapidamente para gerar o que assumimos ser uma receita de marketing de afiliados muito boa”, explicou o grupo de cibersegurança.
O watchTowr Labs disse que organizações de setores como infraestrutura nacional, agências governamentais, grandes instituições financeiras, seguradoras, provedores de tecnologia, empresas de varejo, organizações aeroespaciais, telecomunicações, hospitais, universidades, empresas de viagens e até fornecedores de cibersegurança tiveram suas informações privadas particularmente
“Essas ferramentas são extremamente populares, aparecendo no topo dos resultados de pesquisa para termos como ‘embelezar JSON’ e ‘melhor lugar para colar segredos’ (provavelmente, não comprovado), usadas por organizações e administradores tanto em ambientes corporativos quanto em projetos pessoais”, escreveu o pesquisador de segurança Jake Knott no post do blog.
O watchTowr Labs listou várias categorias de dados sensíveis encontrados nos arquivos expostos, como credenciais do Active Directory, chaves de autenticação de repositórios de código, detalhes de acesso ao banco de dados, informações de configuração LDAP, chaves de ambiente em nuvem, credenciais de login FTP, chaves de pipeline CI/CD, chaves privadas e solicitações e respostas de API completas com parâmetros sensíveis.
Os investigadores também mencionaram segredos do Jenkins, arquivos de configuração criptografados pertencentes a uma empresa de cibersegurança, informações de Conheça Seu Cliente (KYC) de bancos e credenciais da AWS pertencentes a uma grande bolsa de valores que estavam conectadas aos sistemas Splunk.
watchTowr: Atores maliciosos estão raspando os vazamentos
De acordo com a análise de danos do watchTowr Labs, muitas das chaves vazadas foram coletadas e testadas por partes desconhecidas. Em um experimento, os pesquisadores carregaram falsas AWS chaves de acesso em uma das plataformas de formatação e, em menos de dois dias, atores maliciosos tentaram abusar das credenciais.
“Principalmente porque alguém já está explorando isso, e isso é tudo muito, muito estúpido”, continuou Knott, “não precisamos de mais plataformas de agentes impulsionadas por IA; precisamos de menos organizações críticas colando credenciais em sites aleatórios.”
O JSONFormatter e o CodeBeautify desativaram temporariamente sua funcionalidade de salvamento em setembro, quando a falha de segurança foi trazida à sua atenção. O JSONFormatter estava “trabalhando para torná-lo melhor”, enquanto o CodeBeautify disse que estava implementando novas “medidas aprimoradas de prevenção de conteúdo NSFW (Não Seguro para o Trabalho).”
Problema de segurança no provedor Terraform do Vault da HashiCorp
Longe das credenciais vazadas, a empresa de San Francisco HashiCorp, da IBM, encontrou uma vulnerabilidade que poderia permitir que atacantes burlassem a autenticação em seu provedor Vault Terraform. A empresa fornece aos desenvolvedores, empresas e organizações de segurança infraestrutura de computação em nuvem e serviços de proteção.
De acordo com a descobertas compartilhada na terça-feira, a falha do Vault Terraform afeta as versões v4.2.0 a v5.4.0 devido a uma configuração padrão insegura no método de autenticação LDAP.
O problema surge porque o parâmetro “deny_null_bind” está definido como false em vez de true quando o provedor configura o backend de autenticação LDAP do Vault. O parâmetro determina se o Vault rejeita uma senha errada ou ligações não autenticadas.
Se o servidor LDAP conectado permitir ligações anônimas, os atacantes podem autenticar e acessar contas sem quaisquer credenciais válidas.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
