Cloudflare u shkel nga aktori i dyshuar i kërcënimit i sponsorizuar nga shteti që përdor kodin burimor dhe dokumente të brendshme
Cloudflare, një kompani e mirënjohur e sigurisë në internet dhe rrjeti i ofrimit të përmbajtjes, së fundmi zbuloi një shkelje të sigurisë të orkestruar nga një aktor i dyshuar kërcënimi i sponsorizuar nga shteti. Incidenti, i zbuluar më 23 nëntor, përfshinte aksesin e paautorizuar në sistemet e brendshme përmes kredencialeve të vjedhura, të komprometuara fillimisht gjatë hakimit të Okta të tetorit 2023.
Duke shfrytëzuar kredencialet e vjedhura
Aktori i kërcënimit i shfrytëzoi këto kredenciale për të depërtuar në bazën e të dhënave të brendshme të wiki dhe gabimeve të Cloudflare, duke kryer aktivitete zbulimi duke filluar nga 14 nëntori. Pavarësisht se segmentimi i rrjetit pengon aksesin në disa sisteme kritike, sulmuesit arritën të depërtojnë në mjedisin AWS të Cloudflare dhe paketën Atlassian, duke përfshirë Jira dhe Conflu.
Brenda paketës Atlassian, sulmuesit kërkuan informacion në lidhje me infrastrukturën e rrjetit të Cloudflare, duke u fokusuar në fjalë kyçe si "qasje në distancë", "sekret" dhe "token". Ata madje krijuan një llogari të vazhdueshme Atlassian për të siguruar akses të vazhdueshëm. Për më tepër, ata vendosën Sliver Adversary Emulation Framework për të fituar akses të mëtejshëm dhe u përpoqën të shkelin një qendër të dhënash jo-operative në São Paulo, Brazil.
Plani i Veprimit Swift i Cloudflare
Ndërsa sulmuesit arritën dhe shkarkonin depot e kodit burimor, Cloudflare u përgjigj menjëherë duke rrotulluar sekretet e koduara dhe duke përfunduar llogaritë e paautorizuara. Rregullat e firewall-it u zbatuan për të bllokuar adresat IP të sulmuesve dhe u ndërmorën masa të gjera sigurie, duke përfshirë ri-imazhimin dhe rindezjen e të gjitha makinave brenda rrjetit global të Cloudflare.
Megjithë hetimin e plotë nga Cloudflare dhe CrowdStrike, asnjë provë nuk sugjeroi kompromis të mëtejshëm përtej sistemeve të aksesuara. Kompania mbetet vigjilente, duke përmirësuar vazhdimisht masat e saj të sigurisë për të parandaluar shkeljet e ardhshme dhe për të mbrojtur infrastrukturën e saj kundër kërcënimeve të sofistikuara.