🚀 A CloudSEK se torna a primeira empresa de segurança cibernética de origem indiana a receber investimentos da Estado dos EUA fundo
Leia mais
Voltar
Inteligência do adversário
[Atualização] Análise detalhada do grupo cibercriminoso LAPSUS$ que comprometeu a Nvidia, a Microsoft, a Okta e a Globant
[Atualização] Análise detalhada do grupo cibercriminoso LAPSUS$ que comprometeu a Nvidia, a Microsoft, a Okta e a Globant
April 4, 2022
min
Tabela de conteúdo
Inscreva-se nos recursos do CloudSEK
Receba as últimas notícias, ameaças e recursos do setor.
Sumário executivo
- Atualização: o alvo recente do grupo de ransomware Lapsus$ é a gigante de TI e software Globant. Este artigo foi atualizado com a análise do ataque ao Globant, que veio à tona em 30 de março de 2022.
- CloudSEKa principal plataforma digital de monitoramento de risco da XV Vigília descobri uma postagem no Telegram, compartilhando as credenciais dos funcionários da Nvidia, o código-fonte da Samsung, além de que as mais recentes adições a esses alvos já importantes são a Cortana da Microsoft e o código-fonte do Bing e Okta, os dados de clientes da gigante do SSO, foram exfiltrados.
- A gangue de ransomware Lapsus$ alegou ter comprometido a Nvidia e agora ataca a Samsung com a violação. Alegando ainda ter obtido acesso ao código-fonte usado em smartphones Samsung Galaxy, dados de clientes da Okta, etc.
- A gangue de ransomware vazou código-fonte, credenciais removidas, certificados de assinatura de código e código-fonte para o motorista. Os dados vazados revelam a possibilidade de os agentes de ameaças obterem acesso não autorizado a dados pessoais, proprietários e de propriedade intelectual (IP) da Nvidia e também vazaram 90% do código-fonte do Bing Maps, Bing e Cortana, alegando estar em 45%.
- Enquanto escrevíamos este relatório, descobrimos que PII (informações de identificação pessoal) ou informações dox relacionadas à gangue de ransomware Lapsus$ foram divulgadas em um fórum de crimes cibernéticos em russo.
Análise e atribuição
Informações do Telegram
Em 22 de março de 2022, o grupo alegou ter vazado o código-fonte do Bing Maps, Bing e Cortana. Nossa equipe de inteligência de ameaças confirmou que essas afirmações são verdadeiras, logo após a publicação de blogs oficiais de Microsoft e Okta confirmando a violação.
Perpetradores originais da violação
Sabe-se que o grupo cibercriminoso LAPSUS$ explora o elo mais fraco na cadeia de segurança de uma rede corporativa: Erros humanos e más práticas.
Eles alcançam o acesso inicial usando as seguintes táticas:
- Registros do ladrão de malware Redline, que podem ser entendidos aqui
- Mercados populares, como amigos, mercado russo para obter registros, credenciais e tokens de sessão para obter acesso.
- Eles são conhecidos por pagar insiders para fornecer VPN, VDI (citrix), provedores de identidade e até mesmo acesso RDP
- Segredos publicamente disponíveis nos repositórios github/gitlab
As próximas etapas envolvem escalonamento de privilégios e pós-exploração:
- Explorando vulnerabilidades existentes, que incluem versões não corrigidas do Jira, confluence, Fortiguard, servidores Microsoft Exchange, etc. Criamos uma lista de vulnerabilidades selecionadas que eles visam.
- Acessando sistemas de controle de versão e analisando repositórios privados para obter acesso a segredos e gemas
- Eles também acessam caixas de correio/software de colaboração, como o Slack, para ter acesso às credenciais compartilhadas em texto simples.
Análise de vazamentos da Microsoft:
A Microsoft, em um blog oficial de hoje, declarou o seguinte:
“Nesta semana, o ator fez alegações públicas de que havia obtido acesso à Microsoft e extraído partes do código-fonte. Nenhum código ou dado do cliente estava envolvido nas atividades observadas. Nossa investigação descobriu que uma única conta foi comprometida, concedendo acesso limitado. Nossas equipes de resposta de segurança cibernética se engajaram rapidamente para corrigir a conta comprometida e evitar novas atividades. A Microsoft não confia no sigilo do código como medida de segurança e a visualização do código-fonte não aumenta o risco.”O vazamento contém 56484 diretórios, 333743 arquivos e o código-fonte da Cortana, Bing Maps e Bing. O tamanho agregado dos dados vazados é de 37,8 GB.
O vazamento também contém vários terminais confidenciais, como o mencionado na captura de tela acima. Da mesma forma, existem 135 arquivos.pfx presentes no vazamento. Um arquivo pfx contém o certificado SSL (chave pública) e a chave privada correspondente. Por sua vez, eles podem ser usados de forma maliciosa.
Existem arquivos de documentação e arquivos PDF internos:
Ao examinar os arquivos, podemos concluir o seguinte:
- Nenhum dado do cliente foi afetado
- Nenhuma PII foi vazada
- O código-fonte junto com certificados e arquivos pfx vazaram
- O grupo Lapsus$ não é muito forte com segurança operacional, pois eles publicaram uma prova de conceito no canal Telegram enquanto a exfiltração ainda estava em andamento.
Análise de violação da Okta:
Okta também divulgou uma declaração anterior na forma de um blog afirmando:
“A Okta detectou uma tentativa malsucedida de comprometer a conta de um engenheiro de suporte ao cliente que trabalhava para um provedor terceirizado. Como parte de nossos procedimentos regulares, alertamos o provedor sobre a situação, ao mesmo tempo em que encerramos as sessões ativas do Okta do usuário e suspendemos a conta do indivíduo. Após essas ações, compartilhamos informações pertinentes (incluindo endereços IP suspeitos) para complementar sua investigação, que foi apoiada por uma empresa forense terceirizada.” “Após uma análise completa dessas reivindicações, concluímos que uma pequena porcentagem de clientes — aproximadamente 2,5% — foi potencialmente impactada e cujos dados podem ter sido visualizados ou utilizados. Identificamos esses clientes e estamos entrando em contato diretamente com eles. Se você é cliente da Okta e foi afetado, já entramos em contato diretamente por e-mail. Estamos compartilhando essa atualização provisória, consistente com nossos valores de sucesso, integridade e transparência do cliente”Em resposta à declaração acima, o grupo Lapsus$ também divulgou uma mensagem que pode ser resumida nos seguintes pontos:
- Eles conseguiram violar uma conta de superusuário/administrador que tinha acesso aos fóruns do Slack, Jira, Confluence, etc.
- É suspeito que o engenheiro de suporte ao cliente tenha tido acesso a aproximadamente 8,6 mil canais do Slack e aplicativos internos.
- Eles tinham acesso a pares internos de segredos e chaves da AWS e outras chaves de API à medida que eram compartilhadas em texto simples pelo Slack e por e-mail
- A conta violada conseguiu redefinir a senha e o MFA de ~ 95% de sua clientela
Análise de vazamento Globant:
A Globant, em uma confirmação oficial, não contestou a reivindicação da Lapsus$. A Globant divulgou a seguinte declaração:
“Recentemente, detectamos que uma seção limitada do repositório de código da nossa empresa foi sujeita a acesso não autorizado. Ativamos nossos protocolos de segurança e estamos conduzindo uma investigação exaustiva. De acordo com nossa análise atual, as informações acessadas foram limitadas a determinado código-fonte e documentação relacionada ao projeto para um número muito limitado de clientes. Até o momento, não encontramos nenhuma evidência de que outras áreas de nossos sistemas de infraestrutura ou de nossos clientes tenham sido afetadas”
O vazamento de dados de 70 GB contém chaves públicas e privadas (SSH e SSL) presentes no vazamento como parte de seu código-fonte. Ele consiste nas seguintes informações para vários de seus clientes:
Arquivos de credenciais vazaram:
Informações confidenciais e PII vazadas:
Arquivos SQL vazados:
Informações do fórum Cyber Crime
O grupo Lapsus Ransomware surgiu no início de janeiro de 2022.
- O grupo está operando ativamente em seu canal Telegram e interage com os assinantes. Eles mantêm seus assinantes atualizados sobre as futuras violações de dados e organizam enquetes.
- Recentemente, encontramos uma postagem em um fórum de crimes cibernéticos de língua russa que mencionava a PII como operadora do grupo Lapsus$.
- As informações coxadas mostram muitas informações pessoais:
- Nome: Arion Kurtaj
- Interesses: Minecraft, Pesca, venda em 0 dias
- Idade: 16 anos
- Endereço potencial: Espanha
- Nacionalidade: britânica
- Data de nascimento: 19 de fevereiro de 2005
- E-mails pessoais:
[email protected], [email protected], [email protected], [email protected], [email protected], [email protected], [email protected], [email protected], [email protected]
- Pseudônimos:
Vulnerabilidades e exposições comuns (CVE)
A gangue Lapsus$ já tinha como alvo uma organização no Nepal e um blog de investigação foi publicado para a mesma mencionando os CVEs alvo.
Indicadores de compromisso (IOCs)
A Nvidia foi alvo do grupo Lapsus$ no mês passado. Posteriormente, no início deste mês, amostras de malware começaram a aparecer na natureza, assinadas com certificados da Nvidia. Algumas dessas amostras tiveram uma detecção muito baixa no VirusTotal devido aos certificados legítimos anexados e, portanto, podem representar uma ameaça. A seguir estão as amostras de malware assinadas com certificados roubados:
Impacto e mitigação
Apêndice
Inscreva-se nos recursos do CloudSEK
Receba as últimas notícias, ameaças e recursos do setor.
.png)