Кибербезопасность: гигант CrowdStrike увольняет инсайдера, работавшего с хакерами
- CrowdStrike уволила инсайдера, обвиняемого в передаче внутренних скриншотов после того, как хакеры опубликовали предполагаемые снимки доступа, связанные с более масштабным взломом Salesforce.
- Группировка Lapsus$ взяла на себя ответственность за атаки с использованием приложений Gainsight, что вызвало расследования со стороны Salesforce, Mandiant от Google и других команд по кибербезопасности.
- Хакерское сообщество продолжает серию громких взломов и планирует создать новый сайт для вымогательства, нацеленный на компании, пострадавшие в ходе последней кампании.
Техасская американская компания по кибербезопасности CrowdStrike, по сообщениям, уволила сотрудника, обвиняемого в утечке внутренней информации в киберпреступное коллектив, который недавно взял на себя ответственность за взломы корпоративных систем, связанных с Salesforce.
Служба безопасности уволила «инсайдера», после того как выяснилось, что он сотрудничал с группой, известной как Scattered Lapsus$ Hunters, которая начала публиковать предполагаемые внутренние скриншоты в четверг и утром в пятницу в своем канале Telegram.
Scattered Lapsus$ опубликовала несколько изображений, показывающих панели управления, связанные с ресурсами компании, включая панели Okta, которые сотрудники используют для доступа к внутренним приложениям. Хакеры утверждали, что скриншоты были сделаны с компрометированного сотрудника и являются доказательством того, что они успешно проникли в CrowdStrike после взлома Gainsight на прошлой неделе.
CrowdStrike и Gainsight все еще расследуют украденную информацию
Согласно CrowdStrike, утверждения хакерской группы и изображения в Telegram относились только к сотруднику, который поделился несанкционированными фотографиями своего экрана с внешними сторонами, и компания настаивает на том, что взлома ее систем не было.
«Наши системы никогда не были скомпрометированы, и клиенты оставались под защитой на протяжении всего инцидента», — сказал представитель Кевин Беначчи в интервью издание TechCrunch. Он добавил, что компания «передала дело в соответствующие правоохранительные органы» после прекращения доступа инсайдера.
CrowdStrike заявила, что упаковала рабочий стол сотрудника сразу после того, как было подтверждено, что он «делился фотографиями своего экрана компьютера с внешними сторонами», а утверждения, циркулирующие в каналах хакеров, были «ложными».
Salesforce подтверждает утечку данных клиентов
В пятницу утром Salesforce обновила страницу инцидента, сообщив, что взлом затронул некоторых из ее клиентов, вызвав «сбои подключения». Несанкционированные лица получили доступ к «данным определенных клиентов Salesforce», хотя компания не указала, какие организации пострадали.
Salesforce заявила, что вторжение произошло через приложения, разработанные поставщиком услуг поддержки клиентов и аналитики Gainsight.
Позже в тот же день Остин Ларсен из группы разведки угроз Google, главный аналитик по угрозам в ее подразделении кибербезопасности, сказал, что компания «знает о более чем 200 потенциально затронутых экземплярах Salesforce».
Scattered Lapsus$ Hunters публично взяла на себя ответственность за доступ к данным через интеграции Gainsight и использовала украденную информацию для атак на других корпоративных клиентов.
Представитель ShinyHunters, одной из групп в составе коллектива, похвастался, что «Gainsight был клиентом Salesloft Drift, они пострадали и поэтому были полностью скомпрометированы нами».
Gainsight публикует обновления на своей странице инцидента с тех пор, как атака стала публичной. В пятницу компания заявила, что привлекла Mandiant, подразделение реагирования на инциденты Google, для помощи в расследовании взлома.
Salesforce также временно отозвала активные токены доступа для приложений, связанных с Gainsight, в качестве меры предосторожности, наряду с уведомлением клиентов, чьи данные были украдены, согласно публичным обновлениям компании.
«Клиенты, использующие Hubspot, могут обнаружить, что приложение Gainsight было временно удалено из Hubspot Marketplace в качестве меры предосторожности. Это также может повлиять на доступ OAuth для подключений клиентов, пока идет проверка. Мы будем работать с Hubspot над повторным размещением после тщательной проверки», — отмечается в одном из отчетов о прогрессе, опубликованном в четверг.
Семья Scattered Lapsus$ несет ответственность за несколько высокопрофильных взломов
Scattered Lapsus$ Hunters — это сотрудничество, сформированное несколькими англоязычными группами киберпреступников, включая ShinyHunters, Scattered Spider и Lapsus$. Коллектив стал популярным благодаря использованию техник социальной инженерии для обмана сотрудников с целью получения учетных данных, предоставления удаленного доступа или одобрения запросов на аутентификацию.
В своем списке «завоеваний» группа ранее атаковала MGM Resorts, Coinbase, DoorDash, Workday, Aflac Insurance, и другие крупные компании. Еще в октябре Scattered Lapsus$ Hunters заявила, что похитила более одного миллиарда записей из предприятий, использующих Salesforce для управления клиентской информацией.
Они опубликовали утечку списка каталогов с данными от страховщика Allianz Life, авиакомпании Qantas, автопроизводителя Stellantis, TransUnion, платформы управления персоналом Workday и других.
За последний год и полтора семья Scattered Lapsus$ также взяла на себя ответственность за инциденты на Atlassian, DocuSign, F5, GitLab, LinkedIn, Malwarebytes, SonicWall, Thomson Reuters и Verizon.
Хакеры заявили на своем канале Telegram, что планируют запустить новый сайт для вымогательства на следующей неделе для компаний, пострадавших в их последней операции.
«Следующий сайт утечки данных будет содержать данные кампаний Salesloft и GainSight», — поделились хакеры своими планами с DataBreaches.net.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
