„Azure“ ataka: iš „McDonald’s“ ir „Vodafone“ pavogti milijonai darbuotojų duomenų

Piktavališkas veikėjas, pasivadinęs „TheHatman“, pardavinėja didžiulius vidinius darbuotojų katalogus, pavogtus iš kelių „Fortune 500“ įmonių. Kibernetinio saugumo bendrovė „Hudson Rock“ tai apibūdina kaip didelio masto duomenų nutekinimo iš „Azure“ kampaniją, vykusią pastarąją savaitę.

Milijonai įrašų iš pasaulinių korporacijų

Remiantis „Hudson Rock“ analize, paskelbta tyrimų tinklaraštyje „Infostealers.com“, pavogti duomenys apima darbuotojų katalogus iš „McDonald's“ ↗ 0.21% (apie 1,7 mln. įrašų), „Tata Consultancy Services“ (800 000 įrašų), „Vodafone“ ↗ 1.23% (425 000 įrašų), „HCL Technologies“ (250 000 įrašų), „InterContinental Hotels Group“ ↗ 0.45% (185 000 įrašų), „Kyndryl“ ↘ 5.52% (170 000 įrašų), „Gap The Gap, Inc.“ ↗ 1.03% (80 000 įrašų), „Hexaware Technologies“ (20 000 įrašų) ir „Wyndham Hotels“ ↘ 0.92% (9 000 įrašų).infostealers

Programišius teigia, kad katalogai buvo paimti tiesiogiai iš organizacijų „Azure“ ir „Entra“ tapatybės portalų, pasinaudojus nutekintais prisijungimo duomenimis. Nutekinti duomenys apima įmonių el. pašto adresus, telefonų numerius, pareigas, padalinių struktūras, informaciją apie vadovus, vartotojų grupių narystes ir, kas svarbiausia, paslaugų paskyrų bei visuotinių administratorių įrašus.cybersecuritynews+1

Atakos vektorius išlieka neaiškus

Nors duomenys atrodo autentiški, remiantis „Hudson Rock“ atlikta įmonių el. pašto domenų ir laukų pavadinimų, atitinkančių standartinį „Azure“ katalogo eksportą, analize, tikslus įsilaužimo būdas dar nepatvirtintas. „Hudson Rock“ tyrėjai teigia, kad kampanija galėjo kilti dėl slaptažodžius vagiančios kenkėjiškos programinės įrangos, pažeidusios darbuotojų sesijos žetonus, fisingo (sukčiavimo) kampanijų, suteikusių administratoriaus prieigą, silpno kelių veiksnių autentifikavimo taikymo arba piktnaudžiavimo trečiųjų šalių integracijomis su per didelėmis skaitymo teisėmis.infostealers

Bendrovė pažymėjo, kad daugelyje nukentėjusių įmonių rado nutekintų „Azure“ prisijungimo duomenų, susijusių su kenkėjiškų programų infekcijomis. Ji įvertino, kad tikslinis kampanijos pobūdis, kai nukentėjo tik didelės įmonės, o ne platus organizacijų spektras, rodo, kad buvo pasinaudota pavogtais prisijungimo duomenimis, o ne sisteminiu „Azure“ pažeidžiamumu.infostealers

Tiesioginė rizika

Vidinių organizacinių struktūrų ir privilegijuotų paskyrų duomenų atskleidimas atveria kelią tolesnėms atakoms, įskaitant verslo el. pašto kompromitavimą, tikslinį fisingą ir tikslinį teisių išplėtimą. Visuotinių administratorių paskyrų nustatymas kelia ypatingą susirūpinimą išpirkos reikalaujančių programų operatoriams, ieškantiems vertingų taikinių įmonių aplinkoje.cybersecuritynews+1