La computadora personal pirateada de un ingeniero condujo a una segunda violación de datos en LastPass
La empresa de gestión de contraseñas LastPass, que fue golpeado por dos violaciones de datos el año pasadoha revelado que los datos extraídos durante la primera intrusión, descubierta en agosto, se utilizaron para atacar la computadora personal de uno de sus empleados desarrollador Ingenieros y lanzar un segundo ataque cibernético exitoso, descubierto en noviembre.
El atacante involucrado en las brechas de seguridad infectó la computadora de la casa del ingeniero con un registradores de teclasque registró información que permitió un ataque cibernético en el que se extrajo información confidencial de los servidores de almacenamiento en la nube AWS de la compañía, dijo LastPass en un Actualización de incidentes de ciberseguridad Lunes.
La empresa reveló información sobre las filtraciones de datos el año pasado; La actualización revela por primera vez que el mismo actor de amenazas fue responsable de ambas infracciones.
El primer robo terminó el 12 de agosto del año pasado. Sin embargo, LastPass ahora dice que desde el 12 de agosto hasta el 26 de octubre de 2022, el actor de amenazas participó activamente en una nueva serie de actividades de inteligencia, enumeración y exfiltración dirigidas al entorno de almacenamiento en la nube de la empresa.
“Las tácticas, técnicas y procedimientos observados (TTP) y los indicadores de compromiso (IOC) del segundo incidente no coincidieron con los del primero. Aunque estuvo cerca en el tiempo, inicialmente no era evidente que los dos incidentes estuvieran directamente relacionados», dijo LastPass en su actualización. No ha habido actividad del actor de amenazas después del 26 de octubre, agregó la compañía.
El desarrollador cuya computadora doméstica estaba infectada con el keylogger era solo uno de los cuatro desarrolladores de la empresa que tenía acceso a las claves de descifrado de los cubos cifrados de Amazon S3.
Contraseña maestra de ingeniero de LastPass robada
«El atacante pudo capturar la contraseña maestra del empleado tal como se ingresó después de que el empleado se autenticó mediante MFA y obtuvo acceso a la bóveda corporativa de LastPass del desarrollador», dijo LastPass.
Luego, el actor de amenazas exportó las entradas de la bóveda corporativa nativa y el contenido de la carpeta compartida, que contenía notas seguras cifradas con claves de acceso y descifrado necesarias para acceder a las copias de seguridad de producción de AWS S3 LastPass, otros recursos de almacenamiento basados en la nube y algunas copias de seguridad de bases de datos críticas relacionadas.
El uso de credenciales válidas dificultó que los investigadores de la empresa descubrieran las actividades del atacante.
En el primer ataque, en agosto, la computadora portátil de la empresa de un desarrollador de software se vio comprometida, lo que permitió al atacante acceder a un entorno de desarrollo basado en la nube y robar el código fuente, la información técnica y ciertos secretos internos del sistema de LastPass, dijo el CEO de LastPass, Karim Toubba, en un comunicado. al blog dirigida a los clientes.
No se robaron datos de clientes ni de bóvedas en este incidente, ya que LastPass no tenía datos de clientes ni de bóvedas en el entorno de desarrollo.
Datos robados utilizados para obtener acceso en un segundo ataque
«Hemos declarado cerrado este incidente, pero luego supimos que la información robada en el primer incidente se usó para identificar objetivos e iniciar el segundo incidente», dijo Toubba.
Durante el primer incidente, el atacante pudo acceder a los repositorios de código fuente y desarrollo basados en la nube bajo demanda de 14 de los 200 repositorios de software.
El atacante también accedió a scripts internos de los repositorios que contenían certificados y secretos de la empresa, así como a documentación interna que incluía información técnica que describía cómo funcionaba el entorno de desarrollo.
En el segundo incidente, el actor de amenazas usó la información robada en la primera intrusión para apuntar a un desarrollador líder y explotar el software vulnerable de terceros para instalar un registrador de teclas, dijo Toubba.
El actor de amenazas usó información del malware keylogger, incluidas las credenciales del ingeniero, para eludir y eventualmente obtener acceso a las copias de seguridad en la nube. Los datos a los que se accedió desde estas copias de seguridad incluían datos de configuración del sistema, secretos de API, secretos de integración de terceros y datos de clientes cifrados y no cifrados, dijo la compañía.
El actor de amenazas también accedió a los secretos de Devops, incluida la información utilizada para obtener acceso al almacenamiento de respaldo basado en la nube. Acceso a una copia de seguridad de la autenticación multifactor (MFA) y la base de datos federada de LastPass, que incluye copias de las semillas de autenticación de la empresa, números de teléfono utilizados para la copia de seguridad de MFA y un componente de conocimiento dividido (la «Clave» K2), utilizado para LastPass La federación también fue recuperada por un actor de amenazas, dijo LastPass.
Se desconocen la identidad y la motivación del actor de la amenaza. No hubo contacto ni demandas, y no se identificó ninguna actividad clandestina creíble que sugiera que el atacante estuvo involucrado activamente en la comercialización o venta de cualquier información obtenida durante cualquiera de los incidentes, dijo LastPass.
acción correctiva tomada
LastPass tomó varias medidas para aumentar su seguridad luego de los incidentes. «Hemos invertido mucho tiempo y esfuerzo en fortalecer nuestra seguridad mientras mejoramos las operaciones generales de seguridad», dijo el CEO.
Algunos de estos incluyeron ayudar a los desarrolladores a mejorar la seguridad de su red doméstica y recursos personales, rotar credenciales críticas y de alto privilegio y habilitar análisis personalizados que pueden detectar el abuso continuo de los recursos de AWS. LastPass dice que tiene millones de usuarios y más de 100.000 empresas como clientes.
Derechos de autor © 2023 IDG Communications, Inc.
Nos llegó este contenido de ciberseguridad de: CSO Online
Podrás encontrar la noticia original en el siguiente enlace: https://www.csoonline.com/article/3688922/hacked-home-computer-of-engineer-led-to-second-lastpass-data-breach.html#tk.rss_news
