Κλοπή εκατομμυρίων αρχείων εργαζομένων από McDonald’s και Vodafone μέσω παραβίασης στο Azure

Ένας κακόβουλος παράγοντας που αυτοαποκαλείται «TheHatman» πουλάει τεράστιους εσωτερικούς καταλόγους εργαζομένων που εκλάπησαν από διάφορες εταιρείες του Fortune 500, σε αυτό που η εταιρεία κυβερνοασφάλειας Hudson Rock περιγράφει ως μια μεγάλης κλίμακας εκστρατεία υποκλοπής δεδομένων από το Azure, η οποία εκτυλίχθηκε την περασμένη εβδομάδα.

Εκατομμύρια αρχεία από παγκόσμιες επιχειρήσεις

Τα κλαπέντα δεδομένα περιλαμβάνουν, σύμφωνα με πληροφορίες, καταλόγους εργαζομένων από τις McDonald's ↗ 0.21% (περίπου 1,7 εκατομμύρια αρχεία), Tata Consultancy Services (800.000 αρχεία), Vodafone ↗ 1.23% (425.000 αρχεία), HCL Technologies (250.000 αρχεία), InterContinental Hotels Group ↗ 0.45% (185.000 αρχεία), Kyndryl ↘ 5.52% (170.000 αρχεία), Gap The Gap, Inc. ↗ 1.03% (80.000 αρχεία), Hexaware Technologies (20.000 αρχεία) και Wyndham Hotels ↘ 0.92% (9.000 αρχεία), σύμφωνα με την ανάλυση της Hudson Rock που δημοσιεύτηκε στο ερευνητικό της ιστολόγιο Infostealers.com.infostealers

Ο δράστης ισχυρίζεται ότι οι κατάλογοι αποσπάστηκαν απευθείας από τις πύλες ταυτοποίησης Azure και Entra των οργανισμών με τη χρήση παραβιασμένων διαπιστευτηρίων. Τα διαρρεύσαντα δεδομένα περιλαμβάνουν εταιρικές διευθύνσεις email, τηλεφωνικούς αριθμούς, τίτλους θέσεων εργασίας, δομές τμημάτων, στοιχεία διευθυντών, συμμετοχές σε ομάδες χρηστών και, το πιο κρίσιμο, αρχεία λογαριασμών υπηρεσιών και καθολικών διαχειριστών.cybersecuritynews+1

Ασαφές παραμένει το διάνυσμα της επίθεσης

Αν και τα δεδομένα φαίνονται αυθεντικά με βάση την ανάλυση της Hudson Rock σε εταιρικά domains ηλεκτρονικού ταχυδρομείου και ονόματα πεδίων που ταιριάζουν με τυπικές εξαγωγές καταλόγου Azure, η ακριβής μέθοδος διείσδυσης δεν έχει επιβεβαιωθεί. Οι ερευνητές της Hudson Rock δήλωσαν ότι η εκστρατεία θα μπορούσε να προέρχεται από κακόβουλο λογισμικό υποκλοπής πληροφοριών (infostealer) που παραβίασε τα session tokens εργαζομένων, από εκστρατείες phishing που εξασφάλισαν πρόσβαση διαχειριστή, από αδύναμη εφαρμογή ελέγχου ταυτότητας πολλαπλών παραγόντων ή από κατάχρηση ενσωματώσεων τρίτων με υπερβολικά προνόμια ανάγνωσης.infostealers

Η εταιρεία σημείωσε ότι εντόπισε παραβιασμένα διαπιστευτήρια Azure από μολύνσεις infostealer που συνδέονται με τις περισσότερες από τις επηρεαζόμενες εταιρείες, και εκτίμησε ότι ο στοχευμένος χαρακτήρας της εκστρατείας, που έπληξε μόνο μεγάλες επιχειρήσεις και όχι ένα ευρύ φάσμα οργανισμών, υποδηλώνει εκμετάλλευση κλαπέντων διαπιστευτηρίων και όχι κάποια συστημική ευπάθεια του Azure.infostealers

Άμεσοι κίνδυνοι

Η έκθεση των εσωτερικών οργανωτικών δομών και των στοιχείων προνομιακών λογαριασμών δημιουργεί έναν οδικό χάρτη για επόμενες επιθέσεις, συμπεριλαμβανομένης της υποκλοπής εταιρικών email, του spear-phishing και της στοχευμένης κλιμάκωσης προνομίων. Ο εντοπισμός λογαριασμών καθολικού διαχειριστή προκαλεί ιδιαίτερη ανησυχία για τους χειριστές ransomware που αναζητούν στόχους υψηλής αξίας σε εταιρικά περιβάλλοντα.cybersecuritynews+1