一、事件概述
从2021年10月份开始，黑客组织AgainstTheWest便利用SonarQube漏洞陆续攻击我国多家企事业单位，攻击手段主要为利用未授权访问漏洞获取信息系统源代码，并在国外黑客论坛公开出售，绿盟科技CERT及国家有关部门已于2021年11月份针对该事件发布了预警通告。
详情链接：https://mp.weixin.qq.com/s/LDZQZF-nMCvPFZc6DqRuQw
绿盟科技CERT近期监测到，自2022年1月20日以来，该黑客组织再次利用Gitblit漏洞，对我国多家关键信息基础设施单位发起攻击，窃取重要信息系统源代码数据，并同样在上述黑客论坛进行非法售卖。
二、漏洞描述
Gitblit是一个纯Java编写的开源项目，是为希望托管集中式存储库的小型工作组设计的软件，主要用于管理、查看和服务Git仓库。
经绿盟科技CERT分析验证，Gitblit在部署时存在默认管理员口令，同时在创建仓库时，默认权限为允许匿名用户查看及克隆，直接导致暴露在互联网的相关源代码被攻击者窃取。
通过绿盟科技威胁情报系统对全网Gitblit资产进行网络空间测绘，发现绝大部分资产分布在我国，经统计分析，大部分平台均为第三方软件开发商部署在相关云主机上，其中源码涉及大量国家关键信息基础设施单位及相关政府机关单位。
三、防护建议
1、设置Gitblit平台默认访问权限
在数据目录下配置文件default.properties / gitblit.properties中，添加或修改web.authenticateViewPages及git.defaultAccessRestriction字段的默认值，将系统默认访问权限设置为仅对认证用户开放，完整操作可参考官方文档：http://gitblit.github.io/gitblit/setup_viewer.html
2、修改Gitblit管理员默认口令
排查用户及管理员账户是否存在弱口令，并通过web控制台进行修改。
也可通过数据目录下的用户配置文件user.conf进行修改。
3、设置仓库访问权限
在Gitblit创建仓库时，系统默认允许匿名用户进行查看及克隆，可通过访问策略，严格控制仓库的使用权限。
同时对关联用户和团队的权限进行控制。
四、入侵排查
若攻击者具有push权限，则可能通过git植入后门文件，相关用户可检查项目目录/.git/hooks下是否存在可疑脚本：
攻击者获取主机权限后，还可通过修改配置文件植入后门文件，用户可排查在数据目录/groovy下是否存在可疑脚本：
五、已知泄露情况
一、境外黑客论坛：
泄露对象：某银行、某银行分行
SCAI | XXX Banking XXX Systems | SRCs | ATW |
https://XXX.com/Thread-SCAI-XXX-SRCs-ATW
泄露对象：某工业集团、某工业局
State Administration for XXX | ATW |
https://XXX.com/Thread-SELLING-State-Administration-for-XXX-ATW
泄露对象：某医疗保健中心
XXX Health | SRCs | ATW |
https://XXX.com/Thread-XXX-Health-SRCs-ATW
泄露对象：某银行
开发商：某科技股份有限公司
Bank Of XXX | SRC | ATW |
https://XXX.com/Thread-Bank-Of-XXX-SRC-ATW
二、互联网：
泄露对象：某军工单位
泄露对象：某政府单位
泄露对象：某公安机关
泄露对象：某银行
泄露对象：某医院
泄露对象：某法院
泄露对象：某水务
版权声明
本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司（“绿盟科技”）。作为分享技术资讯的平台，绿盟科技期待与广大用户互动交流，并欢迎在标明出处（绿盟科技-技术博客）及网址的情形下，全文转发。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。