近日，据BleepingComputer报道，美国网络安全公司Rapid7披露遭遇了Codecov供应链攻击，部分源代码存储库在网络攻击事件中泄漏。

　　Rapid7已通知可能受到此漏洞影响的“一小部分客户”，以采取措施减轻任何潜在风险。

　　仅访问内部凭证和工具源代码

　　Rapid7声称，攻击者只能访问存储库的“一小部分”，其中包括Rapid7的托管检测和响应（MDR）服务内部工具的源代码。

　　Rapid7透露：“这些（泄漏的）存储库包含一些内部凭证，这些凭证目前都已经被轮换，此外还包括一部分客户的MDR警报相关的数据。攻击者没有访问其他公司系统或生产环境，也没有对这些存储库进行未经授权的更改。”

　　这家网络安全公司补充说，上个月供应链攻击中被黑客入侵的Codecov工具并未用于其生产代码。

　　Rapid7说：“我们对Codecov的Bash Uploader脚本的使用很有限：仅在用于测试和开发托管检测和响应（MDR）服务的一些内部工具的单一CI服务器上设置。我们没有在用于生产代码的任何CI服务器上使用Codecov。”

　　黑客窃取了开发人员凭证、源代码

　　拥有超过29,000家企业企业客户的流行代码覆盖解决方案公司Codecov于4月15日披露，未知攻击者恶意更改了其Bash Uploader脚本。

　　Codecov供应链攻击者可以从客户的持续集成（CI）环境中收集敏感信息（例如凭据、令牌或API密钥），并将其发送到攻击者控制的服务器。

　　数天后，联邦调查人员发现，Codecov黑客将被盗凭证的测试过程自动化，从而成功入侵了数百个Codecov客户的网络。

　　在4月1日披露攻击事件两周后，Codecov才开始通知受供应链攻击影响的客户，告知他们未知攻击者可能已经下载了客户的源代码存储库。

　　Codecov的客户之一，开源软件制造商HashiCorp透露，用于签名和验证软件版本的代码签名GPG私钥已在攻击中暴露。

　　云通信公司Twilio还透露，它也受到了Codecov供应链攻击的影响，但关键系统没有受到影响。

　　建议Codecov客户尽快扫描其网络和CI/CD环境，以检测是否遭到攻击。