ஹேக்கர்கள் அமெரிக்க அரசு நிறுவனங்கள் மற்றும் தனியார் நிறுவனங்களிடமிருந்து மூலக் குறியீட்டைத் திருடினர்

பெடரல் பீரோ ஆஃப் இன்வெஸ்டிகேஷன் (எஃப்.பி.ஐ) கடந்த அக்டோபரில் ஒரு எச்சரிக்கையை அனுப்பியது நிறுவனங்கள் மற்றும் அரசாங்க அமைப்புகளின் பாதுகாப்பு சேவைகளுக்கு.

ஆவணம் கடந்த வாரம் கசிந்தது அறியப்படாத ஹேக்கர்கள் ஒரு பாதிப்பைப் பயன்படுத்திக் கொண்டதாகக் கூறுகிறது சோனார் கியூப் குறியீடு சரிபார்ப்பு மேடையில் மூல குறியீடு களஞ்சியங்களை அணுக. இது அரசு நிறுவனங்கள் மற்றும் தனியார் நிறுவனங்களின் மூல குறியீடு கசிவுகளுக்கு வழிவகுக்கிறது.

FBI எச்சரிக்கை சோனார் கியூப் உரிமையாளர்களை எச்சரித்தது, நிறுவனங்கள் தங்கள் மென்பொருளுடன் ஒருங்கிணைக்கும் ஒரு வலை பயன்பாடு, மூலக் குறியீட்டைச் சோதிக்கவும், உற்பத்தி சூழல்களில் குறியீடு மற்றும் பயன்பாடுகளை வெளியிடுவதற்கு முன்பு பாதுகாப்பு துளைகளைக் கண்டறியவும்.

அறியப்பட்ட உள்ளமைவு பாதிப்புகளை ஹேக்கர்கள் பயன்படுத்திக் கொள்கிறார்கள், தனியுரிமக் குறியீட்டை அணுகவும், அதை வெளியேற்றவும் மற்றும் தரவை வெளியிடவும் அனுமதிக்கிறது. சோனார் கியூப் உள்ளமைவு பாதிப்புகளுடன் தொடர்புடைய கசிவுகளுடன் தொடர்புபடுத்தக்கூடிய பல சாத்தியமான கணினி ஊடுருவல்களை எஃப்.பி.ஐ அடையாளம் கண்டுள்ளது.

இன் பயன்பாடுகள் வலை சேவையகங்களில் சோனார் கியூப் நிறுவப்பட்டுள்ளது மற்றும் குறியீடு ஹோஸ்டிங் அமைப்புகளுடன் இணைக்கவும் BitBucket, GitHub அல்லது GitLab கணக்குகள் அல்லது Azure DevOps அமைப்புகள் போன்ற மூலங்கள்.

எஃப்.பி.ஐ படி, சில நிறுவனங்கள் இந்த அமைப்புகளை பாதுகாப்பற்ற நிலையில் வைத்திருக்கின்றன, அதன் இயல்புநிலை உள்ளமைவு (போர்ட் 9000 இல்) மற்றும் இயல்புநிலை நிர்வாக நற்சான்றுகளுடன் (நிர்வாகி / நிர்வாகம்) இயங்குகிறது. குறைந்தது ஏப்ரல் 2020 முதல் தவறாக உள்ளமைக்கப்பட்ட சோனார் கியூப் பயன்பாடுகளை ஹேக்கர்கள் துஷ்பிரயோகம் செய்துள்ளனர்.

"ஏப்ரல் 2020 முதல், அடையாளம் காணப்படாத ஹேக்குகள் அமெரிக்க அரசாங்க நிறுவனங்கள் மற்றும் தனியார் நிறுவனங்களிலிருந்து மூல குறியீடு களஞ்சியங்களை அணுகுவதற்காக பாதிக்கப்படக்கூடிய சோனார் கியூப் நிகழ்வுகளை தீவிரமாக குறிவைத்து வருகின்றனர்.

அறியப்பட்ட உள்ளமைவு பாதிப்புகளை ஹேக்கர்கள் சுரண்டிக்கொண்டு, தனியுரிமக் குறியீட்டை அணுகவும், அதை வெளியேற்றவும், தரவை பொதுவில் காண்பிக்கவும் அனுமதிக்கிறது. சோனார் கியூப் உள்ளமைவில் பாதிப்புகளுடன் தொடர்புடைய கசிவுகளுடன் தொடர்புபடுத்தக்கூடிய பல சாத்தியமான கணினி ஊடுருவல்களை எஃப்.பி.ஐ அடையாளம் கண்டுள்ளது, ”என்று எஃப்.பி.ஐ ஆவணம் கூறுகிறது.

அதிகாரிகள் இந்த தவறான அமைப்புகளை அச்சுறுத்தல் ஹேக்கர்கள் துஷ்பிரயோகம் செய்ததாக எஃப்.பி.ஐ கூறுகிறது SonarQube நிகழ்வுகளை அணுக, இணைக்கப்பட்ட மூல குறியீடு களஞ்சியங்களுக்கு மாறவும், பின்னர் தனியுரிம அல்லது தனியார் / உணர்திறன் பயன்பாடுகளை அணுகவும் திருடவும். முந்தைய மாதங்களில் நடந்த கடந்த கால சம்பவங்களுக்கு இரண்டு எடுத்துக்காட்டுகளை வழங்குவதன் மூலம் எஃப்.பி.ஐ அதிகாரிகள் தங்கள் எச்சரிக்கையை ஆதரித்தனர்:

ஆகஸ்ட் 2020 இல், அவர்கள் ஒரு பொது வாழ்க்கை சுழற்சி களஞ்சிய கருவி மூலம் இரண்டு நிறுவனங்களுக்கான உள் தரவை வெளிப்படுத்தினர். திருடப்பட்ட தரவு இயல்புநிலை போர்ட் அமைப்புகள் மற்றும் பாதிக்கப்பட்ட நிறுவனங்களின் நெட்வொர்க்குகளில் இயங்கும் நிர்வாக நற்சான்றுகளைப் பயன்படுத்தி சோனார் கியூப் நிகழ்வுகளிலிருந்து வந்தது.

"இந்த செயல்பாடு ஜூலை 2020 இல் முந்தைய தரவு மீறலுக்கு ஒத்ததாகும், இதில் அடையாளம் காணப்பட்ட சைபர் நடிகர் நிறுவனத்தின் மூலக் குறியீட்டை மோசமாகப் பாதுகாக்கப்பட்ட சோனார் கியூப் நிகழ்வுகளின் மூலம் வெளியேற்றினார் மற்றும் வெளியேற்றப்பட்ட மூலக் குறியீட்டை ஒரு சுய ஹோஸ்ட் பொது களஞ்சியத்தில் வெளியிட்டார் . «, 

அதிகம் அறியப்படாத தலைப்பில் எஃப்.பி.ஐ எச்சரிக்கை தொடும் மென்பொருள் உருவாக்குநர்கள் மற்றும் பாதுகாப்பு ஆராய்ச்சியாளர்களால்.

போது இணைய பாதுகாப்புத் தொழில் பெரும்பாலும் ஆபத்துகள் குறித்து எச்சரித்துள்ளதுகடவுச்சொல் இல்லாமல் ஆன்லைனில் அம்பலப்படுத்தப்பட்ட மோங்கோடிபி அல்லது மீள் தேடல் தரவுத்தளங்களை விட்டு வெளியேறுவதிலிருந்து, சோனார் கியூப் கண்காணிப்பிலிருந்து தப்பித்துள்ளது.

உண்மையில், தி ஆராய்ச்சியாளர்கள் பெரும்பாலும் மோங்கோடிபி அல்லது மீள் தேடலின் நிகழ்வுகளைக் கண்டறிந்துள்ளனர் ஆன்-லைன் இது தரவை அம்பலப்படுத்துகிறது பல்லாயிரக்கணக்கான பாதுகாப்பற்ற வாடிக்கையாளர்களுக்கு மேல்.

எடுத்துக்காட்டாக, 2019 ஜனவரியில், பாதுகாப்பு ஆராய்ச்சியாளரான ஜஸ்டின் பெயின், தவறாக உள்ளமைக்கப்பட்ட ஆன்லைன் மீள் தேடல் தரவுத்தளத்தைக் கண்டுபிடித்தார், பாதிப்புகளைக் கண்டறிந்த தாக்குதல் நடத்துபவர்களின் கருணைக்கு கணிசமான எண்ணிக்கையிலான வாடிக்கையாளர் பதிவுகளை அம்பலப்படுத்தினார்.

பயனர்களின் தனிப்பட்ட தகவல்கள் உட்பட 108 மில்லியனுக்கும் அதிகமான சவால் பற்றிய தகவல்கள் ஆன்லைன் சூதாட்டக் குழுவின் வாடிக்கையாளர்களுக்கு சொந்தமானது.

எனினும்சில பாதுகாப்பு ஆராய்ச்சியாளர்கள் இதே ஆபத்துகள் குறித்து மே 2018 முதல் எச்சரித்துள்ளனர் நிறுவனங்கள் சோனார் கியூப் பயன்பாடுகளை ஆன்லைனில் இயல்புநிலை நற்சான்றுகளுடன் வெளிப்படுத்தும்போது.

அந்த நேரத்தில், தரவு மீறல்களைக் கண்டுபிடிப்பதில் கவனம் செலுத்தும் சைபர் பாதுகாப்பு ஆலோசகர் பாப் டயச்சென்கோ, அந்த நேரத்தில் ஆன்லைனில் கிடைக்கக்கூடிய சுமார் 30 சோனார் கியூப் நிகழ்வுகளில் 40-3,000% வரை கடவுச்சொல் அல்லது அங்கீகார வழிமுறை செயல்படுத்தப்படவில்லை என்று எச்சரித்தார்.

மூல: https://blog.sonarsource.com


கருத்து தெரிவிப்பதில் முதலில் இருங்கள்

உங்கள் கருத்தை தெரிவிக்கவும்

உங்கள் மின்னஞ்சல் முகவரி வெளியிடப்பட்ட முடியாது. தேவையான புலங்கள் குறிக்கப்பட்டிருக்கும் *

*

*

  1. தரவுக்கு பொறுப்பு: மிகுவல் ஏஞ்சல் கேடன்
  2. தரவின் நோக்கம்: கட்டுப்பாட்டு ஸ்பேம், கருத்து மேலாண்மை.
  3. சட்டபூர்வமாக்கல்: உங்கள் ஒப்புதல்
  4. தரவின் தொடர்பு: சட்டபூர்வமான கடமையால் தவிர மூன்றாம் தரப்பினருக்கு தரவு தெரிவிக்கப்படாது.
  5. தரவு சேமிப்பு: ஆக்சென்டஸ் நெட்வொர்க்குகள் (EU) வழங்கிய தரவுத்தளம்
  6. உரிமைகள்: எந்த நேரத்திலும் உங்கள் தகவல்களை நீங்கள் கட்டுப்படுத்தலாம், மீட்டெடுக்கலாம் மற்றும் நீக்கலாம்.