Ботнеты сканируют сеть в поисках незащищенных файлов ENV

Рекомендуем почитать:

Xakep #304. IP-камеры на пентестах

• Содержание выпуска
• Подписка на «Хакер»-60%

Издание ZDNet сообщает, что злоумышленники активно сканируют сеть в поисках незащищенных файлов ENV,  то есть ищут токены API, пароли и учетные данные для входа в БД, которые были случайно загружены и забыты на веб-серверах.

Файлы ENV представляют собой файлы конфигурации, которые обычно используются инструментами для разработки. К примеру, такие платформы как Docker, Node.js, Symfony и Django используют файлы ENV для хранения токенов API, паролей, учетных данных для входа БД. И хотя такие файлы всегда должны храниться в защищенных местах, увы, порой администраторы и разработчики допускают ошибки.

Аналитик компании SecurityJoes рассказал журналистам изданиям, что операторы ботнетов активно ищут такие файлы, так как хранящиеся в них данные могут позволить им получить доступ к таким БД, как Firebase, AWS и так далее.

Разработчиков приложений часто предупреждают о том, что ботнеты ищут в сети случайно оставленные в открытом доступе файлы конфигурации GIT и приватные ключи SSH, но, как оказалось, файлы ENV ищут ничуть не реже. Например, по данным компании Greynoise, за последние три года  для поиска файлов ENV использовалась более 2800 различных IP-адресов. Так, только за последний месяц было обнаружено более 1100 таких сканеров.

Ouch. Anyways, here's a list of every single IP address crawling the entire Internet for .env files using @GreyNoiseIO:https://t.co/pYBXhX6VZN

GNQL: web.paths:".env" https://t.co/mrDYSjswWV pic.twitter.com/LppKdJ5lce

— Andrew Morris (@Andrew___Morris) November 17, 2020

Похожую активность на протяжении последнего года не раз фиксировали и аналитики компании Bad Packets.

185.234.218.174 (??) is mass scanning the internet for these paths:
/admin-app/.env
/api/.env
/app/.env
/apps/.env
/back/.env
/core/.env
/cp/.env
/development/.env
/docker/.env
/fedex/.env
/local/.env
/private/.env
/rest/.env
/shared/.env
/sources/.env
/system/.env
. . . pic.twitter.com/vIBDk7Wbnl

— Bad Packets (@bad_packets) February 19, 2020

Журналисты отмечают, что конечной целью таких атак может быть все что угодно, начиная от кражи интеллектуальной собственности и коммерческих секретов компаний, и заканчивая атаками шифровальщиков или установкой майнеров.