Найвідоміша компанія з кіберзахисту піддалася потужному експлойту

Американська компанія з кіберзахисту Cloud­flare розкрила деталі інциденту, під час якого, ймовірно, хакери отримали доступ до внутрішньої системи Atlass­ian, використовуючи вкрадені дані в результаті порушення безпеки в Okta. Зазначимо, що масштабний експлойт відбувся торік у жовтні.

За інформацією Cloud­flare, порушення в системі Atlass­ian було виявлено 23 листопада 2023 року, а вже наступного дня порушників було витіснено із системи. За словами представників компанії, атаку було здійснено з метою отримання постійного доступу до глобальної мережі Cloud­flare.

Під час порушення безпеки Okta в жовтні, яке зачепило понад 130 клієнтів компанії, зловмисники вкрали дані з метою подальшого злому організацій. Cloud­flare також постраждала від атаки. Зауважимо — Cloud­flare використовує Okta як постачальника посвідчень, інтегрованого з Cloud­flare Access, що дає змогу гарантувати користувачам безпечний доступ до внутрішніх ресурсів.

За словами Cloud­flare, хакери отримали один сервісний токен і три набори облікових даних сервісних акаунтів через компрометацію Okta у 2023 році. Спочатку Okta стверджувала, що вкрадена інформація була відносно нешкідливою і могла використовуватися для фішингу або соціальної інженерії. Однак виявилося, що серед вкрадених даних були токени сесії, що дають змогу отримати доступ до мереж компаній на кшталт Cloud­flare.

Зловмисники використовували вкрадені дані для доступу до систем Cloud­flare, включно з внутрішнім вікі на базі Con­flu­ence і базою даних помилок Jira, у період з 14 по 17 листопада 2023 року. Подальші доступи були виявлені 20 і 21 листопада, після чого кіберзлочинці встановили постійну присутність на сервері Atlass­ian через Scrip­tRun­ner для Jira.

Інтерес шпигунів до секретів і токенів підтверджується також переглядом 120 репозиторіїв коду в Bit­buck­et із майже 12 000. Репозиторії здебільшого були пов’язані з принципами роботи резервного копіювання, конфігурацією та управлінням глобальної мережі, ідентифікацією, віддаленим доступом, а також Ter­raform і Kuber­netes. За словами компанії CDN, деякі з них містили зашифровані секрети, і вони були негайно замінені, хоча і були надійно зашифровані.

Атаку було відбито 24 листопада 2023 року, після чого компанія почала оцінку збитків і розслідування інциденту.