Copias de Seguridad Expuestas de WordPress se Convirtieron en una Mina de Oro de Credenciales de AWS y Correo Electrónico

Las copias de seguridad expuestas de WordPress se han convertido en una valiosa fuente de credenciales en la nube y de correo electrónico para los atacantes que utilizan un kit de herramientas llamado TIKTOUK. LevelBlue dijo en un informe compartido con Cyber Security News (CSN) que sus componentes combinaban el sondeo de WordPress, la recopilación de configuraciones expuestas, la recuperación de contraseñas de correo electrónico y el escaneo de JavaScript.

Copias de seguridad expuestas de WordPress TIKTOUK utiliza dos componentes de Python y un rastreador de Linux escrito en Go. Un componente de recopilación separado recupera una copia de seguridad de configuración de WordPress expuesta y extrae las credenciales de la base de datos y las claves de seguridad. También solicita la configuración del entorno, la configuración del repositorio, las copias de seguridad de la base de datos y los registros de depuración, buscando credenciales a las que se pueda acceder a través de solicitudes web ordinarias. Decodifica las respuestas hexadecimales en texto y prepara los registros que contienen la configuración de la base de datos, las credenciales de correo electrónico, los pares de claves de AWS y los patrones de claves de API.

El recopilador podría derivar una contraseña de correo electrónico de Amazon ses de un secreto de AWS suministrado, convirtiendo el material de la clave de la nube en credenciales adecuadas para el servicio de correo electrónico. Las copias de seguridad de WordPress expuestas se convirtieron en una mina de oro de AWS y las credenciales de correo electrónico aparecieron primero en Cyber Security News.

Consultar publicación original ↗