近日，据BleepingComputer报道，美国网络安全公司Rapid7披露遭遇Codecov供应链攻击，部分源代码库在网络攻击事件中被泄露。Rapid7已通知可能受此漏洞影响的“少数客户”采取措施降低任何潜在风险。仅访问内部凭证和工具源代码Rapid7声称攻击者只能访问存储库的“一小部分”，其中包括Rapid7的托管检测和响应(MDR)服务内部工具的源代码。Rapid7透露：“这些（泄漏的）存储库包含一些内部凭据，目前正在轮换，还包括与某些客户的MDR警报相关的数据。攻击者无法访问其他公司系统或生产环境。这些存储库进行了未经授权的更改”这家网络安全公司补充说，在上个月的供应链攻击中被黑的Codecov工具并未用于其生产代码中。Rapid7说：“我们对Codecov的BashUploader脚本的使用是有限的：只能在单个CI服务器上设置，用于测试和开发一些用于托管检测和响应(MDR)服务的内部工具。在任何CI服务器上使用Codecov。”黑客窃取开发者凭据、源代码Codecov是一家拥有29,000多家企业企业客户的热门代码覆盖解决方案公司，4月15日披露，不明攻击者恶意更改了其BashUploader脚本。Codecov供应链攻击者可以从客户的持续集成(CI)环境中收集敏感信息（例如凭据、令牌或API密钥）并将其发送到攻击者控制的服务器。几天后，联邦调查人员发现Codecov黑客通过自动执行被盗凭证的测试过程，成功侵入了数百个Codecov客户的网络。Codecov在4月1日披露攻击事件后两周才开始通知受供应链攻击影响的客户，未知的攻击者可能已经下载了客户的源代码存储库。Codecov的客户之一，开源软件制造商HashiCorp透露，用于签署和验证软件版本的代码签名GPG私钥在攻击中暴露。云通信公司Twilio也透露，它也受到了Codecov供应链攻击的影响，但关键系统没有受到影响。建议Codecov客户尽快扫描他们的网络和CI/CD环境以检测攻击。【本文为专栏作者“安安牛”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）获得授权】点此查看作者更多好文
