2024年6月9日，《纽约时报》向Bleeping Computer证实，其内部源代码和数据于2024年1月从该公司的GitHub存储库中被盗后在4chan留言板上泄露。正如VX-Underground首次看到的那样，内部数据是周四由一位匿名用户泄露的，他发布了一个包含被盗数据的273GB压缩包的资源种子。
4chan论坛的帖子写道："基本上所有源代码都属于纽约时报公司，270GB。大约有5000个repos(我想其中只有不到30个是额外加密的)，总共360万个文件，未压缩的tar"。
虽然Bleeping Computer没有下载存档，但该威胁行为者共享了一个文本文件，其中包含从该公司GitHub存储库中窃取的6223个文件夹的完整列表。文件夹名称显示，被盗信息种类繁多，包括IT文档、基础架构工具和源代码，据称包括流行的Wordle游戏。存档中的"自述"文件指出，威胁者使用暴露的GitHub令牌访问了该公司的存储库并窃取了数据。
《纽约时报》在给Bleeping Computer的一份声明中称，该漏洞发生在2024年1月，当时一个基于云的第三方代码平台的凭证被曝光。随后的一封电子邮件证实这个代码平台就是GitHub。
"昨天披露的相关事件发生在2024年1月，当时无意中提供了一个基于云的第三方代码平台的凭证。这个问题很快被发现，我们当时采取了适当的应对措施。目前没有迹象表明有人未经授权访问了时代公司的系统，也没有发现该事件对我们的运营造成影响。我们的安全措施包括持续监控异常活动。"该公司表示，GitHub账户被入侵并未影响其内部企业系统，也未对其运营造成影响。
《纽约时报》泄密事件是本周在4chan上发布的第二起泄密事件，第一起是迪士尼企鹅俱乐部游戏415MB内部文件被盗的泄密事件。消息人士向Bleeping Computer独家透露，企鹅俱乐部泄漏事件是迪士尼Confluence服务器重大漏洞事件的一部分，威胁分子在该服务器上窃取了2.5GB的公司内部数据。目前尚不清楚《纽约时报》和迪斯尼的泄密事件是否是同一人所为。
原文始发于微信公众号（安全学习那些事儿）：《纽约时报》源代码和数据于2024年1月从GitHub库中遭窃被披露
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论