公开的GitLab代码库泄露了超过17,000个密钥

颁布功夫 2025-12-01

1. 公开的GitLab代码库泄露了超过17,000个密钥


11月28日，，，，，，，安全工程师Luke Marshall通过系统性扫描GitLab Cloud的560万个公共存储库，，，，，，，告发了大规模敏感信息泄露问题。。。。。。。。这次行动选取TruffleHog开源工具结合GitLab公共API端点，，，，，，，共同自界说Python剧本实现存储库分页排序，，，，，，，并通过AWS SQS与Lambda函数架构实现并行扫描，，，，，，，最终仅耗时24幼时、成本770美元即完玉成量扫描。。。。。。。。调查发现，，，，，，，在2800余个分歧域名中存在17,430个有效活跃密钥，，，，，，，数量是此前Bitbucket扫描了局（6212个）的近三倍，，，，，，，且密钥密度逾越35%。。。。。。。。汗青数据显示，，，，，，，无数泄录钥产生于2018年后，，，，，，，但部门2009年起的古老密钥仍具效力。。。。。。。。按类型划分，，，，，，，Google Cloud Platform凭证占比最高（超5200个），，，，，，，其次为MongoDB密钥、Telegram机械人令牌及OpenAI密钥，，，，，，，另发现400余个GitLab自身密钥泄露。。。。。。。。Marshall遵循掌管任披露准则，，，，，，，利用Claude Sonnet 3.7的网络搜索职能与Python剧本自动化天生通知邮件，，，，，，，成功联系受影响方并推动密钥撤销。。。。。。。。此举不仅获得9000美元缝隙赏金，，，，，，，更促使大量组织垂危撤回敏感凭证。。。。。。。。然而，，，，，，，仍有部门密钥持续处于露出状态。。。。。。。。


https://www.bleepingcomputer.com/news/security/public-gitlab-repositories-exposed-more-than-17-000-secrets/


2. 法国足球结合会披露网络攻击后数据泄露事务


11月28日，，，，，，，法国足球协会（FFF）于周五披露一路严沉数据泄露事务。。。。。。。。攻击者通过被盗账户犯法接见足球俱乐部治理软件，，，，，，，在系统断根前成功窃取大量会员幼我数据。。。。。。。。经安全团队检测，，，，，，，FFF立即禁用被入侵账户并强造沉置所有效户密码，，，，，，，但泄露领域已涵盖姓名、性别、诞生日期及地址、国籍、邮政地址、电子邮箱、电话号码和驾照号码等敏感信息。。。。。。。。凭据欧洲数据�；；；； ； ；ぢ衫�，，，，，FFF已启动刑事诉讼法式，，，，，，，并向法国国度网络安全局（ANSSI）和国度信息与自由委员会（CNIL）正式报备。。。。。。。。该组织承诺将直接通过电子邮件通知所有受影响幼我，，，，，，，并出格提醒会员警惕任何要求提供账户凭证、密码或银行信息的可疑通讯，，，，，，，蕴含宣称来自结合会、俱乐部或其他发件人的诳骗邮件。。。。。。。。FFF暗示将通过技术升级和流程优化提升防御能力，，，，，，，同时呼吁会员维持警惕，，，，，，，预防点击可疑附件或泄漏敏感信息。。。。。。。。


https://www.bleepingcomputer.com/news/security/french-football-federation-fff-discloses-data-breach-after-cyberattack/


3. 黑客劫持美国无线电设备发送虚伪警报


11月28日，，，，，，，美国联国通讯委员会（FCC）近日颁布垂危通知，，，，，，，披露黑客通过劫持Barix网络音频设备，，，，，，，在美国多地广播系统中犯法播放虚伪应急警报音及冲犯性内容，，，，，，，引发严沉公共安全风险。。。。。。。。这次攻击聚焦德克萨斯州与弗吉尼亚州，，，，，，，黑客通过沉新配置设备使其接管攻击者节造的流媒体内容，，，，，，，导致正常节目被模拟警报音、EAS"把稳信号"及淫秽说话中断。。。。。。。。该"把稳信号"本应仅用于龙卷风、飓风等垂危威胁预警，，，，，，，其滥用严沉侵扰公共应急系统。。。。。。。。FCC分析指出，，，，，，，事务本原在于广播设备安全防护幽微，，，，，，，未授权用户可等闲侵入传输蹊径。。。。。。。。部门电台甚至在听多汇报收到同化偏执舆论的异常警报后，，，，，，，才觉察设备遭入侵。。。。。。。。为遏造类似事务，，，，，，，FCC在编号DA 25-996的通知中明确要求广播机构强化基础安全措施：立即装置厂商安全补丁并升级固件；；；； ； ；将默认密码代替为高强度密码并定期更新；；；； ； ；将EAS及Barix设备部署在防火墙后，，，，，，，通过VPN限度接见权限；；；； ； ；持续监控设备日志以发现未授权行为；；；； ； ；参考CSRIC最佳实际指南。。。。。。。。这些措施与2016年Barix公司申明其设备"正确配置高强度密码即安全"的态度一致。。。。。。。。


https://www.infosecurity-magazine.com/news/fcc-hackers-hijacking-radio/


4. 佐治亚州GSCCCA遭勒索软件攻击致系统瘫痪


11月26日，，，，，，，佐治亚州高档法院书记员合作治理局（GSCCCA）因遭逢可信且持续的网络安全威胁，，，，，，，自周五起陷入瘫痪状态，，，，，，，其网站及服务接见被一时限度。。。。。。。。该机构掌管治理全州159个县的贸易登记、房地产及幼我财富纪录索引、公证员中央数据库及民事案件登记等主题职能，，，，，，，其瘫痪直接影响全州房地产买卖、司法文件处置及公证服务。。。。。。。。GSCCCA网站自攻击产生后持续显示“系统守护进行钟妆横幅，，，，，，，周一晚更新确认在处置网络攻击。。。。。。。�；；；； ； ；股昝鞒疲�，，，，，团队正孜孜不倦评估测试系统，，，，，，，确�；；；； ； ８丛褂们按锏阶罡甙踩叨取�。。。。。。。这次攻击导致该机构存储的海量数据面对风险，，，，，，，蕴含房地产左券、抵押纪录、地图数据、民事刑事案件档案等。。。。。。。。勒索软件团伙Devman已将GSCCCA增长至其泄露网站，，，，，，，宣称窃取500GB数据并要求11月27日前支付40万美元赎金。。。。。。。。Devman为今年4月新出现的组织，，，，，，，其成员此前为Qilin、DragonForce等团伙从属，，，，，，，9月转型为勒索软件即服务（RaaS）组织。。。。。。。。


https://therecord.media/georgia-court-filing-org-ransomware-warning


5. 恶意LLM助网犯升级：WormGPT与KawaiiGPT实测威能


11月27日，，，，，，，Palo Alto Networks Unit 42钻研团队揭示，，，，，，，未受限度的恶意大型说话模型（LLM）如WormGPT 4和KawaiiGPT正显著提升网络犯罪能力，，，，，，，通过天生高职能性恶意代码降低攻击门槛。。。。。。。。WormGPT 4作为2023年“沉生”项目，，，，，，，提供月费50美元或平生220美元订阅服务，，，，，，，专为犯罪活动训练，，，，，，，可天生勒索软件加密剧本。。。。。。。。该模型还能按指令天生“军用级加密”赎金信，，，，，，，设置72幼时付款期限，，，，，，，强化勒索攻击生理威慑。。。。。。。。KawaiiGPT则为免费社区驱动型LLM，，，，，，，2.5版本在Linux系统五分钟即可部署。。。。。。。。其能力蕴含天生含真切域名糊弄的垂钓邮件、利用Paramiko SSH库实现横向移动的Python剧本，，，，，，，以及通过smtplib库打包数据表泄的恶意法式。。。。。。。。虽未直接天生加密例程，，，，，，，但其号令执行能力支持权限提升、数据窃取及有效载荷投放。。。。。。。。二者均在Telegram拥罕见百成员频路，，，，，，，形成技术互换社区。。。。。。。。钻研证实，，，，，，，这些模型已从理论威胁转化为现实攻击工具：低技术攻击者可急剧提议复杂攻击，，，，，，，如自动化横向移动、定造化垂钓钓饵，，，，，，，并缩短工具开发周期。。。。。。。。


https://www.bleepingcomputer.com/news/security/malicious-llms-empower-inexperienced-hackers-with-advanced-tools/


6. PyPI供给链安全警报：遗留Python包引发域名收受风险


11月28日，，，，，，，网络安全钻研人员在分析遗留Python包时发现，，，，，，，多个驰名PyPI软件包存在因域名收受导致的供给链安全缝隙。。。。。。。。ReversingLabs在构建工具zc.buildout的疏导剧本中检测到关键缝隙，，，，，，，该剧本会从已失效的旧域名python-distribute.org下载Distribute软件包装置法式，，，，，，，而该域名目前处于盛开注册状态，，，，，，，可被攻击者收受并植入恶意代码。。。。。。。。受影响的PyPI包蕴含tornado、pypiserver、slapos.core等，，，，，，，其疏导剧本bootstrap.py在特定前提下会触发域名接见。。。。。。。。问题本原在于Distribute工具的汗青遗留问题：作为曾短暂存在的Setuptools分支，，，，，，，Distribute在2013年被沉新整合后逐步裁减，，，，，，，但部门软件包仍保留了旧版疏导剧本。。。。。。。。这些剧本选取硬编码域名下载机造，，，，，，，与恶意软件下载器行为高度类似，，，，，，，形成“不用要的攻击面”。。。。。。。。


https://thehackernews.com/2025/11/legacy-python-bootstrap-scripts-create.html