Un error común de desarrollo ha dejado expuestos 28,000 repositorios .git accesibles públicamente. Estos contienen credenciales, información financiera y registros internos de empleados, lo que podría facilitar a los cibercriminales el acceso directo a sistemas empresariales y cuentas en la nube. No se trata de una campaña de malware, sino de una vulnerabilidad originada en la configuración de los servidores web.

Un error de desarrollo rutinario ha dejado expuestos miles de repositorios de software. Los investigadores encontraron 28,000 repositorios .git accesibles públicamente que contienen credenciales, información financiera y registros internos de empleados que podrían dar a los criminales una ruta directa hacia cuentas en la nube y sistemas empresariales.

Esto no es una campaña de malware en el sentido habitual. El riesgo comienza cuando un servidor web deja accidentalmente accesible su directorio Git oculto, permitiendo que escáneres automatizados recuperen código y versiones anteriores de archivos.

Un secreto filtrado puede entonces ser utilizado para el robo de datos, fraude en pagos, phishing o cambios maliciosos en el código. Los analistas de Intruder identificaron la exposición mientras examinaban sistemas orientados a internet a gran escala.

Intruder indicó en un informe que probó 3.5 millones de hosts activos y encontró un problema que puede persistir mucho después de que un desarrollador crea que una credencial ha sido eliminada.

Los hallazgos dan peso a informes recientes sobre credenciales de AWS filtradas públicamente, donde claves antiguas de la nube siguieron siendo utilizables años después de su exposición.

En este caso, el peligro es especialmente amplio porque el historial del repositorio puede preservar secretos, datos de configuración y documentos a través de ramas eliminadas y commits pasados.

28,000 Repositorios Git Expuestos

Los investigadores comenzaron con 40 millones de objetivos probables extraídos de datos de Transparencia de Certificados, reduciendo el conjunto a hosts que ejecutaban un servicio HTTP antes de buscar repositorios expuestos.

Desarrollaron gitreaper para inspeccionar el historial del repositorio en memoria, sin descargar cada proyecto completo. Ese historial es fundamental. Eliminar una contraseña o clave de la versión más reciente de un proyecto no borra el commit anterior que la contenía.

Los metadatos de Git, los punteros de rama y los registros pueden llevar a un visitante a contenido antiguo, una debilidad también vista en la exposición pública de GitHub de la CISA que involucraba credenciales de la nube y código de infraestructura.

El escaneo recuperó más de 400 claves de acceso de AWS, 107 claves de API de Stripe, 123 claves de API de OpenAI, 80 tokens de Telegram y 17 tokens de acceso personal de GitHub. Algunas permanecieron activas durante las pruebas, lo que significa que un intruso podría potencialmente entrar en el entorno vinculado.

Una clave de AWS hardcodeada dio acceso a un bucket que contenía documentos internos de empleo, incluyendo registros de asistencia y expedientes disciplinarios.

Tal material puede ayudar a los criminales a hacer que mensajes fraudulentos parezcan creíbles, atacar a miembros del personal individualmente o presionar a una organización con una amenaza de divulgación. Una clave separada, incluida en un archivo de configuración, expuso el historial de transacciones y pagos a través de un servicio de pagos.

Los datos accesibles incluían cifras de ingresos, calendarios de pagos y detalles parciales de cuentas bancarias. Dependiendo de los permisos, una clave de pago válida también podría ser abusada para emitir reembolsos, ver información de clientes o redireccionar los pagos.

Los Commits Antiguos Convierten Pequeños Errores en Incidentes

El informe muestra por qué los directorios Git expuestos deben tratarse como un incidente de seguridad urgente, no como un error menor del servidor web.

Los atacantes automatizan cada vez más la búsqueda de secretos; investigaciones previas han mostrado que bots automatizados de caza de credenciales localizan claves de AWS expuestas a los pocos minutos de su divulgación pública.

Deberías eliminar inmediatamente el acceso público a los directorios .git, determinar si el repositorio fue copiado y rotar cada credencial encontrada en los commits actuales e históricos.

Revocar solo la clave visible no es suficiente si también se almacenaron tokens relacionados, contraseñas o secretos de despliegue en el proyecto.

Tu equipo debería revisar la actividad de la nube y los registros de pago en busca de usos sospechosos, restringir cada credencial al acceso mínimo necesario y mover los secretos a una bóveda gestionada o a un sistema basado en entornos.

Hacer comprobaciones regulares de archivos de configuración de entorno expuestos puede detectar una ruta relacionada hacia la toma de control de cuentas de la nube antes que los criminales.

También necesitas controles antes de que el código llegue a producción. El escaneo de secretos en los commits, reglas de bloqueo para archivos privados y una verificación de despliegue que deniegue el acceso a las rutas .git pueden prevenir exposiciones repetidas.

El historial del repositorio debe limpiarse siempre que sea posible, pero tu equipo debe asumir que cualquier secreto previamente público fue copiado y reemplazarlo.

Intruder informó que notificó responsablemente a los propietarios que pudo identificar. Varios repositorios afectados fueron eliminados y diversas organizaciones rotaron las credenciales marcadas.

La lección general es sencilla: una carpeta de desarrollo oculta no es inofensiva cuando está expuesta en línea, porque puede convertirse en un archivo indexable de acceso a la organización que está detrás de ella.

Indicadores de compromiso (IoCs):-

Tipo	Indicador	Descripción
Ruta de archivo Git expuesta	HEAD	Archivo Git utilizado para identificar la rama actualmente seleccionada y un punto de partida potencial para recuperar el historial del repositorio.
Ruta de archivo Git expuesta	packed-refs	Archivo de referencia de Git que puede exponer punteros de ramas y etiquetas.
Ruta de archivo Git expuesta	objects/info/packs	Ruta de manifiesto de Git que puede identificar objetos de repositorio empaquetados disponibles para su recuperación.
Archivo sensible expuesto	.env	Archivo de configuración de entorno referenciado en la investigación como contenedor de credenciales de AWS previamente incluidas en commits.

Nota: Las direcciones IP y dominios han sido neutralizados intencionadamente (ej., [.]) para evitar la resolución accidental o el hipervínculo. Solo debes reactivarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/28000-exposed-git-repositories/