🚀 أصبحت CloudSek أول شركة للأمن السيبراني من أصل هندي تتلقى استثمارات منها ولاية أمريكية صندوق
اقرأ المزيد
إلى الخلف
استخبارات الخصم
[تحديث] تحليل مفصل لمجموعة LAPSUS $ الإجرامية الإلكترونية التي اخترقت نفيديا ومايكروسوفت وأوكتا وجلوبانت
[تحديث] تحليل مفصل لمجموعة LAPSUS $ الإجرامية الإلكترونية التي اخترقت نفيديا ومايكروسوفت وأوكتا وجلوبانت
April 4, 2022
دقيقة
ملخص تنفيذي
- تحديث: الهدف الأخير لمجموعة Lapsus$ ransomware هو عملاق تكنولوجيا المعلومات والبرمجيات Globant. تم تحديث هذه المقالة بتحليل الهجوم على Globant، والذي ظهر في 30 مارس 2022.
- كلاود سيكمنصة مراقبة المخاطر الرقمية الرائدة الجيل السادس عشر اكتشفت منشورًا على Telegram، حيث شاركت بيانات اعتماد موظف Nvidia، وكود مصدر Samsung إلى جانب أن أحدث إضافة إلى تلك الأهداف البارزة بالفعل هي Cortana من Microsoft ورمز مصدر Bing وتم استخراج بيانات عملاء Okta عملاق SSO.
- زعمت عصابة Lapsus $ ransomware أنها اخترقت Nvidia وتستهدف الآن Samsung بالاختراق. تدعي أيضًا أنها تمكنت من الوصول إلى شفرة المصدر المستخدمة في هواتف Samsung Galaxy الذكية وبيانات عملاء Okta وما إلى ذلك.
- قامت عصابة برامج الفدية بتسريب شفرة المصدر وبيانات الاعتماد وشهادات توقيع الكود وشفرة المصدر إلى السائق. تكشف البيانات المسربة عن إمكانية حصول الجهات الفاعلة المهددة على وصول غير مصرح به إلى البيانات الشخصية والملكية والملكية الفكرية (IP) الخاصة بـ Nvidia وقد سربت أيضًا 90٪ من شفرة المصدر لخرائط Bing و Bing و Cortana بدعوى أنها تبلغ 45٪.
- أثناء كتابة هذا التقرير، اكتشفنا أن PII (معلومات التعريف الشخصية) أو معلومات dox المتعلقة بعصابة Lapsus $ ransomware قد تم إصدارها في منتدى الجرائم الإلكترونية باللغة الروسية.
التحليل والإسناد
معلومات من تيليجرام
في 22 مارس 2022، ادعت المجموعة تسريب شفرة مصدر خرائط Bing و Bing و Cortana. أكد فريق استخبارات التهديدات لدينا أن هذه الادعاءات صحيحة، بعد فترة وجيزة من وجود مدونات رسمية من مايكروسوفت و أوكتا تأكيد الخرق.
مرتكبو الاختراق الأصليون
من المعروف أن مجموعة LAPSUS $ الإجرامية الإلكترونية تستغل الحلقة الأضعف في السلسلة الأمنية لشبكة الشركات: الأخطاء البشرية والممارسات السيئة.
يحققون الوصول الأولي باستخدام التكتيكات التالية:
- سجلات سارقي البرامج الضارة من Redline، والتي يمكن فهمها هنا
- الأسواق الشعبية مثل الأصدقاء والسوق الروسي للحصول على السجلات وبيانات الاعتماد ورموز الجلسة للوصول إليها.
- من المعروف أنهم يدفعون للمطلعين لتزويدهم بـ VPN و VDI (citrix) وموفري الهوية وحتى الوصول إلى RDP
- الأسرار المتاحة للجمهور على مستودعات github/gitlab
تتضمن الخطوات التالية تصعيد الامتيازات وما بعد الاستغلال:
- استغلال الثغرات الموجودة التي تشمل الإصدارات غير المصححة من خوادم Jira و Confluence و Fortiguard و Microsoft Exchange وما إلى ذلك. لقد أنشأنا قائمة بنقاط الضعف المنسقة التي تستهدفها
- الوصول إلى أنظمة التحكم في الإصدار والبحث في المستودعات الخاصة للوصول إلى الأسرار والأحجار الكريمة
- كما يمكنهم الوصول إلى صناديق البريد/برامج التعاون مثل Slack للوصول إلى بيانات الاعتماد التي تتم مشاركتها بنص عادي.
تحليل التسرب من Microsoft:
ذكرت Microsoft في مدونة رسمية اليوم ما يلي:
«هذا الأسبوع، قدم الممثل ادعاءات عامة بأنه تمكن من الوصول إلى Microsoft واستأصل أجزاء من شفرة المصدر. لم يتم تضمين رمز العميل أو البيانات في الأنشطة التي تمت ملاحظتها. وجد تحقيقنا أن حسابًا واحدًا قد تم اختراقه، مما يمنح وصولاً محدودًا. انخرطت فرق الاستجابة للأمن السيبراني لدينا بسرعة لمعالجة الحساب المخترق ومنع المزيد من النشاط. لا تعتمد Microsoft على سرية التعليمات البرمجية كإجراء أمني ولا يؤدي عرض شفرة المصدر إلى زيادة المخاطر».يحتوي التسرب على 56484 دليلاً، 333743 ملفًا والشفرة المصدرية لكورتانا وخرائط بنج وبينغ. الحجم الإجمالي للبيانات المسربة هو 37.8 جيجابايت.
يحتوي التسرب أيضًا على العديد من نقاط النهاية الحساسة مثل تلك المذكورة في لقطة الشاشة أعلاه. وبالمثل، هناك 135 ملفًا .pfx موجودة في التسرب. يحتوي ملف pfx على شهادة SSL (المفتاح العام) والمفتاح الخاص المقابل. يمكن استخدامها بدورها بشكل ضار.
هناك ملفات وثائق بالإضافة إلى ملفات pdf داخلية:
من خلال النظر إلى الملفات يمكننا استنتاج ما يلي:
- لم تتأثر بيانات العميل
- لم يتم تسريب أي معلومات شخصية
- تم تسريب شفرة المصدر مع الشهادات وملفات pfx
- مجموعة Lapsus$ ليست قوية جدًا فيما يتعلق بالأمن التشغيلي حيث قاموا بنشر إثبات المفهوم في قناة Telegram بينما كانت عملية التسلل لا تزال جارية.
تحليل أوكتا بريك:
أصدرت Okta أيضًا بيانًا سابقًا في شكل مدونة تنص على:
«اكتشفت Okta محاولة فاشلة لاختراق حساب مهندس دعم العملاء الذي يعمل لدى مزود تابع لجهة خارجية. كجزء من إجراءاتنا المعتادة، قمنا بتنبيه المزود إلى الموقف، مع إنهاء جلسات Okta النشطة للمستخدم في نفس الوقت وتعليق حساب الفرد. وبعد هذه الإجراءات، قمنا بمشاركة المعلومات ذات الصلة (بما في ذلك عناوين IP المشبوهة) لاستكمال تحقيقهم، والذي كان مدعومًا من شركة الطب الشرعي التابعة لجهة خارجية». «بعد تحليل شامل لهذه الادعاءات، خلصنا إلى أن نسبة صغيرة من العملاء - حوالي 2.5٪ - من المحتمل أن يكونوا قد تأثروا وربما تم عرض بياناتهم أو اتخاذ إجراء بشأنها. لقد حددنا هؤلاء العملاء ونتواصل معهم مباشرة. إذا كنت أحد عملاء Okta وتأثرت، فقد تواصلنا بالفعل مباشرة عبر البريد الإلكتروني. نحن نشارك هذا التحديث المؤقت، بما يتفق مع قيمنا لنجاح العملاء والنزاهة والشفافية»ردًا على البيان أعلاه، أصدرت مجموعة Lapsus$ أيضًا رسالة يمكن تلخيصها في النقاط التالية:
- لقد نجحوا في اختراق حساب المستخدم المتميز/المسؤول الذي كان بإمكانه الوصول إلى لوحات Slack و Jira و Confluence وما إلى ذلك.
- من المشكوك فيه أن مهندس دعم العملاء كان لديه حق الوصول إلى حوالي 8.6 ألف قناة Slack والتطبيقات الداخلية.
- كان لديهم إمكانية الوصول إلى أسرار AWS الداخلية وأزواج المفاتيح/مفاتيح API الأخرى حيث تمت مشاركتها بنص عادي عبر Slack ورسائل البريد الإلكتروني
- كان لدى الحساب المخترق القدرة على إعادة تعيين كلمة المرور و MFA لـ ~ 95٪ من عملائه
تحليل تسرب جلوبانت:
لم تطعن Globant في تأكيد رسمي في المطالبة بمبلغ Lapsus $. أصدرت Globant البيان التالي:
«لقد اكتشفنا مؤخرًا أن قسمًا محدودًا من مستودع الرموز الخاص بشركتنا قد تعرض للوصول غير المصرح به. لقد قمنا بتفعيل بروتوكولات الأمان الخاصة بنا ونجري تحقيقًا شاملاً. وفقًا لتحليلنا الحالي، اقتصرت المعلومات التي تم الوصول إليها على شفرة مصدر معينة والوثائق المتعلقة بالمشروع لعدد محدود جدًا من العملاء. حتى الآن، لم نعثر على أي دليل على أن مناطق أخرى من أنظمة البنية التحتية لدينا أو تلك الخاصة بعملائنا قد تأثرت»
يحتوي تسرب البيانات بسعة 70 جيجابايت على مفاتيح عامة وخاصة (SSH و SSL) موجودة في التسرب كجزء من شفرة المصدر الخاصة بهم. وتتكون من المعلومات التالية لعدد من عملائها:
ملفات الاعتماد المسربة:
معلومات حساسة ومعلومات تحديد الهوية الشخصية المسربة:
تسربت ملفات SQL:
معلومات من منتدى الجريمة الإلكترونية
ظهرت مجموعة Lapsus Ransomware في أوائل يناير 2022.
- تعمل المجموعة بنشاط عبر قناة Telegram الخاصة بها وتتفاعل مع المشتركين. إنهم يبقون المشتركين على اطلاع دائم بانتهاكات البيانات القادمة واستطلاعات الرأي المضيفة.
- لقد صادفنا مؤخرًا منشورًا على منتدى الجرائم الإلكترونية الناطق باللغة الروسية والذي ذكر PII كمشغل لمجموعة Lapsus $.
- تعرض المعلومات النقطية الكثير من المعلومات الشخصية:
- اسم: أريون كورتاج
- الاهتمامات: ماين كرافت، صيد الأسماك، البيع لمدة 0 يوم
- العمر: 16 سنة
- العنوان المحتمل: إسبانيا
- الجنسية: بريطانية
- تاريخ الميلاد: 19 فبراير 2005
- رسائل البريد الإلكتروني الشخصية:
anglingdirect@protonmail.com، breachbase@protonmail.com، doxbinwhite@protonmail.com، arionkurtajtab@gmail.com، arionkurtajgaming@outlook.com، arionkurtajphone@gmail.com، arionkurtaj321@gmail.com، arionkurtaj1902@gmail.com، arionkurtajownagehosting@gmail.com
- الأسماء المستعارة:
نقاط الضعف والتعرضات الشائعة (CVE)
استهدفت عصابة Lapsus $ سابقًا منظمة في نيبال وتم نشر مدونة تحقيق لنفس الشيء تشير إلى CVEs المستهدفة.
مؤشرات التسوية (IOCs)
تم استهداف Nvidia من قبل مجموعة Lapsus $ الشهر الماضي. بعد ذلك، في وقت سابق من هذا الشهر، بدأت عينات البرامج الضارة بالظهور في البرية، وتم توقيعها بشهادات Nvidia. تم اكتشاف بعض هذه العينات بشكل منخفض جدًا على VirusTotal بسبب الشهادات الشرعية المرفقة، وبالتالي يمكن أن تشكل تهديدًا. فيما يلي نماذج البرامج الضارة الموقعة بشهادات مسروقة:
التأثير والتخفيف
الملحق
اشترك في موارد CloudSek
احصل على أحدث أخبار الصناعة والتهديدات والموارد.
