Старі облікові дані експлуатувалися під час нової атаки на Cloudflare

Нещодавно компанія Cloudflare повідомила про інцидент безпеки, коли зловмисники зламали її системи, використовуючи старі облікові дані, отримані під час зламування Okta в жовтні 2023 року. Інцидент полягав у несанкціонованому доступі до внутрішньої Вікіпедії та бази даних помилок Cloudflare, які використовують Atlassian Confluence і Jira відповідно.

Посилаючись на блог Cloudflare, cyberdaily.au повідомляє, що зловмисники розпочали розвідку з 14 по 17 листопада, отримали доступ до внутрішніх систем, а потім повернулися 20 і 21 листопада, імовірно, для перевірки свого подальшого доступу. Остаточне втручання відбулося 22 листопада, коли зловмисники встановили постійний доступ до сервера Atlassian, отримали доступ до системи управління вихідним кодом (Bitbucket) і без успіху спробували отримати доступ до консольного сервера в Сан-Паулу, Бразилія.

Зловмисники використовували токен доступу й три облікові записи сервісів, отримані під час зламування Okta. Cloudflare визнала, що не змогла оперативно оновити ці з’єднання. Однак станом на 24 листопада всі з’єднання, здійснені зловмисником, були припинені. Компанія співпрацювала з CrowdStrike, підтвердивши, що з того часу не було виявлено жодних нових доказів загрозливої діяльності.

Хоча операційний вплив було визнано обмеженим, компанія Cloudflare поставилася до інциденту серйозно, пов’язуючи його з діями невідомої держави, яка прагнула отримати постійний і широкий доступ до глобальної мережі Cloudflare. Після інциденту Cloudflare ініціювала проект «Червоний код» для дослідження своїх систем, посилення контролю й усунення вразливостей. Проект завершився 5 січня, але Cloudflare продовжує моніторинг і посилення безпеки.

Зламування Okta 18 жовтня 2023 року призвело до компрометації облікових даних, зокрема токену сервісу й трьох облікових записів. На жаль, Cloudflare не провела оновлення цих облікових даних, вважаючи, що ними не користуються, що дало змогу зловмисникам отримати початковий доступ і продовжити своє втручання.

Представники Cloudflare підкреслили, що відсутність оновлення облікових даних не є провиною AWS, Moveworks або Smartsheet, і що вони вжили заходів для посилення безпеки та запобігання майбутнім втручанням.

Отримайте надійний захист у кіберпросторі — зв’яжіться з DigVel!