Sió-Informatika Rendszerház

Egy „TheHatman” néven tevékenykedő fenyegetési szereplő mintegy 3,64 millió rekordot próbál értékesíteni, amelyek állítása szerint kilenc nagy nemzetközi szervezet Microsoft Azure- és Entra-környezetéből származnak.

A meghirdetett adatok a következő vállalatokhoz kapcsolódnak:

• McDonald’s;
• Tata Consultancy Services (TCS);
• Vodafone;
• HCL Technologies;
• InterContinental Hotels Group;
• Kyndryl;
• Gap;
• Hexaware Technologies;
• Wyndham Hotels & Resorts.

A biztonsági kutatók által megvizsgált minták állítólag munkavállalói neveket, vállalati e-mail-címeket, telefonszámokat, munkaköröket, szervezeti egységeket, irodai helyszíneket és belső azonosítókat tartalmaznak.

Egyes minták szolgáltatásfiókokra, biztonsági csoporttagságokra és magas szintű adminisztratív jogosultsággal rendelkező felhasználókra is utalnak.

A listák jelentős vállalati identitásadat-kitettséget jelezhetnek, azonban a támadó állításait egyelőre csak részben sikerült ellenőrizni.

Nem ismert pontosan:

• mikor gyűjtötték az egyes adatkészleteket;
• valóban aktív Microsoft Entra tenantokból származik-e minden rekord;
• az információk mekkora része naprakész.

A TCS, a Vodafone és a Gap is vitatta azt az állítást, hogy rendszereiket a közelmúltban kompromittálták volna. A vállalatok szerint a hozzájuk köthető információk több évesek lehetnek, illetve alapvető munkavállalói adatokra korlátozódnak.

Jelenleg nincs bizonyíték arra sem, hogy a TheHatman a Microsoft Azure vagy Microsoft Entra valamely sérülékenységét használta volna ki.

A rendelkezésre álló információk inkább:

• ellopott hitelesítő adatok;
• eltérített munkamenetek;
• túlzott cloud jogosultságok;
• vagy több különböző, részben régebbi adatforrás

kombinációjára utalnak.

Kilenc globális vállalat adatait kínálhatják eladásra

A fenyegetési szereplő július végén kezdte hirdetni az állítólag megszerzett vállalati címtárakat underground fórumokon, majd augusztus első felében újabb listák jelentek meg.

A legnagyobb állítólagos adatkészlet a McDonald’s-hoz kapcsolódik, több mint 1,7 millió rekorddal.

A támadó további állításai szerint:

• mintegy 800 000 rekord kapcsolódik a TCS-hez;
• 425 000 a Vodafone-hoz;
• 250 000 a HCL Technologies-hoz;
• 185 000 az InterContinental Hotels Grouphoz;
• 170 000 a Kyndryl-höz;
• több mint 80 000 a Gaphez;
• 20 000 a Hexaware Technologies-hoz;
• 9 000 pedig a Wyndham Hotelshez.

Ezek együtt körülbelül 3,64 millió rekordot jelentenek.

Fontos azonban, hogy ez a szám magától az állítólagos támadótól származik, és független fél nem erősítette meg teljes egészében.

A 3,64 millió rekordot ráadásul nem szabad 3,64 millió jelenlegi munkavállalóként értelmezni.

Egy nagyvállalati címtár tartalmazhat:

• korábbi dolgozókat;
• külsős vállalkozókat;
• franchise-alkalmazottakat;
• beszállítókat;
• üzleti partnereket;
• vendégfiókokat;
• megosztott postafiókokat;
• automatizált alkalmazásokat;
• szolgáltatásfiókokat.

Egyetlen személyhez akár több különböző directory object is tartozhat, miközben letiltott accountok is évekig megmaradhatnak megfelelőségi vagy működési okokból.

Ez különösen fontos a McDonald’s esetében említett 1,7 millió rekord értelmezésekor.

A számba franchise-identitások, volt dolgozók, beszállítók, vendégek, duplikált rekordok és nem emberi accountok is beletartozhatnak.

A TheHatman állítólag mintákat is biztosított a potenciális vásárlók számára.

Ez azonban nem jelenti azt, hogy a teljes adatállományokat nyilvánosan közzétették volna. A beszámolók szerint a teljes adatcsomagokat elsősorban értékesítésre kínálják, míg bizonyos minták megjelentek bűnözői fórumokon.

A minták Microsoft Entra-címtárexportokra hasonlítanak

Az infostealer-ökoszisztémára specializálódott Hudson Rock megvizsgálta az eladó által közzétett mintákat.

A vállalat szerint az adatok egy része nagy valószínűséggel hiteles, mivel struktúrájuk erősen hasonlít Microsoft cloud directory exportokra.

A minták állítólag tartalmaztak:

• vállalati e-mail-domaineket;
• tenant-specifikus onmicrosoft.com címeket;
• Microsoft Entra ID-re jellemző mezőket;
• neveket;
• munkavállalói azonosítókat;
• e-mail-címeket;
• telefonszámokat;
• munkaköröket;
• szervezeti egységeket;
• munkahelyi címeket;
• vezetői kapcsolatokat;
• közvetlen beosztottakat;
• csoporttagságokat.

Egyes listák ennél érzékenyebb információkat is tartalmazhatnak.

Állítólag megjelennek bennük:

• Global Administrator jogosultsággal rendelkező felhasználók;
• más privilegizált accountok;
• service accountok.

Egy Global Administrator a Microsoft Entra egyik legmagasabb jogosultsági szintjével rendelkezhet.

Az ilyen fiókok neveinek ismerete önmagában természetesen nem ad adminisztrátori hozzáférést, de a támadóknak célzott listát biztosít a:

• spear phishinghez;
• jelszó-visszaállítási csalásokhoz;
• helpdesk social engineeringhez;
• MFA-manipulációhoz.

A service accountok más jellegű kockázatot jelentenek.

Ezeket gyakran alkalmazások, automatizált folyamatok vagy régebbi rendszerek használják, így kevésbé vannak szem előtt, mint az emberi felhasználói accountok.

Előfordulhat, hogy olyan hozzáféréseket őriznek, amelyek eredeti üzleti indoka már megszűnt.

Fontos azonban hangsúlyozni:

egy hitelesnek tűnő adatmintából még nem következik, hogy az eladó minden állítása igaz.

A kiberbűnözők gyakran kombinálnak:

• régebbi adatszivárgásokat;
• nyilvánosan elérhető információkat;
• frissebb adatokat

annak érdekében, hogy egy adatkészletet új támadás eredményeként értékesítsenek.

Miért nem feltétlenül „Azure-incidens” ez?

A Microsoft directory-adatok jelenléte miatt egyes beszámolók Azure-breachként hivatkoztak az eseményre.

Ez félrevezető lehet, mert azt sugallhatja, hogy egy támadó:

• a Microsoft Azure alap-infrastruktúráját kompromittálta;
• vagy az összes Azure-ügyfelet veszélyeztető sérülékenységet talált.

Jelenleg egyikre sincs bizonyíték.

A Microsoft Entra tenant egy szervezet saját cloud identitáskörnyezete.

Tartalmazhat:

• felhasználókat;
• csoportokat;
• alkalmazásokat;
• service principalokat;
• adminisztratív szerepköröket;
• különböző hozzáférési kapcsolatokat.

A platformot a Microsoft üzemelteti, de az egyes ügyfelek saját maguk kezelik:

• identitásaikat;
• jogosultságaikat;
• alkalmazásaikat;
• hozzáférési szabályaikat;
• security policy-jaikat.

Ha egy támadó megszerzi egy alkalmazott:

• jelszavát;
• browser sessionjét;
• refresh tokenjét;

vagy visszaél egy túlzott jogosultságú alkalmazással, akkor bejuthat az adott vállalat Entra tenantjába anélkül, hogy magát a Microsoftot kompromittálná.

A címtár elérése továbbá nem jelenti automatikusan, hogy a támadó hozzáfért:

• ügyféladatbázisokhoz;
• forráskódhoz;
• virtuális gépekhez;
• dolgozói e-mailek tartalmához;
• SharePoint- vagy OneDrive-fájlok tartalmához.

A tényleges hatás attól függ, hogy a kompromittált identitás milyen jogosultságokkal rendelkezett.

Ellopott credentialök és sessionök lehetnek a legvalószínűbb kiindulópontok

TheHatman állítása szerint kompromittált hitelesítő adatokat használt.

Ezek eredeti forrása azonban nem ismert.

Az egyik lehetséges út az információlopó malware.

Az infostealerek képesek megszerezni például:

• böngészőben tárolt jelszavakat;
• cookie-kat;
• authentication tokeneket;
• autofill-adatokat;
• egyéb belépési titkokat.

Az összegyűjtött információkat úgynevezett stealer logokba rendezik, amelyeket később kiberbűnözők kereshetnek és vásárolhatnak meg konkrét vállalatokhoz kapcsolódó hozzáférések megszerzéséhez.

A Hudson Rock szerint saját adatbázisaiban a megnevezett vállalatok többségéhez tartozó kompromittált Microsoft cloud credentialök is szerepeltek.

Ugyanakkor nem tudtak olyan konkrét hitelesítő adatot vagy malware-fertőzést azonosítani, amely egyértelműen összekötné ezeket a TheHatman aktivitásával.

Ez lényeges különbség.

Az, hogy egy vállalat valamely dolgozójának hitelesítő adatai valaha kompromittálódtak, nem bizonyítja, hogy azokat ebben a támadásban használták.

A sessionlopás az MFA-t is megkerülheti

További lehetőség a session tokenek megszerzése.

Miután egy felhasználó sikeresen belép és teljesíti az MFA-t, a böngésző vagy alkalmazás tokeneket kap, amelyek fenntartják a hitelesített munkamenetet.

Ha egy infostealer vagy adversary-in-the-middle phishing infrastruktúra megszerzi ezeket a tokeneket, bizonyos esetekben a támadó más rendszerről is megpróbálhatja újrajátszani őket.

Ilyenkor előfordulhat, hogy:

• nincs szükség a jelszó ismételt megadására;
• nem jelenik meg új MFA-kérés;
• a támadó a legitim felhasználó munkameneteként jelenik meg.

Ezért az MFA önmagában nem jelent teljes védelmet tokenlopással szemben.

Lehetséges belépési út továbbá:

• phishing;
• credential stuffing;
• password spraying;
• MFA fatigue;
• kompromittált külsős partner;
• túlzott jogosultságú harmadik féltől származó alkalmazás.

Arra azonban jelenleg nincs bizonyíték, hogy mind a kilenc vállalat esetében ugyanazt a módszert alkalmazták volna.

A TCS vitatja a támadó állításait

A Tata Consultancy Services az egyik legrészletesebb nyilatkozatot adta ki.

A TCS szerint saját vizsgálata nem talált hitelt érdemlő bizonyítékot arra, hogy:

• saját rendszereiket;
• ügyfélkörnyezeteiket;
• működési infrastruktúrájukat

a közelmúltban kompromittálták volna.

A vállalat szerint a hivatkozott információk több mint négy évesek, és alapvető munkavállalói adatokra korlátozódnak.

A cég szerint ügyféladatok vagy ügyfélrendszerek érintettségére sincs bizonyíték.

A támadó állítólag password sprayinget és MFA fatigue-ot említett belépési módszerként.

A TCS viszont azt közölte, hogy több mint két éve alkalmaz védelmi kontrollokat ezek ellen.

A Vodafone és a Gap is régi adatokra gyanakszik

A Vodafone saját vizsgálata alapján az értékesítésre kínált adatok régi munkavállalói információk lehetnek, amelyek nagyjából egy vállalati címtár vagy névjegykártya adattartalmával egyeznek meg.

A Vodafone hangsúlyozta, hogy:

• nem azonosított ügyféladatokat;
• nem észlelt ebből eredő hatást.

Ezért az esetet nem szabad Vodafone-ügyféladatok tömeges kiszivárgásaként értelmezni.

A Gap szintén azt közölte, hogy előzetes vizsgálata:

• nem talált bizonyítékot vállalati rendszereinek kompromittálására;
• az információkat korlátozott körűnek;
• nem érzékenynek;
• és több évesnek

értékelte.

Ezek a nyilatkozatok gyengítik azt a feltételezést, hogy mind a kilenc vállalatot egyszerre vagy a közelmúltban törték volna fel.

Sokkal valószínűbb, hogy az értékesített csomag különböző korú és különböző eredetű adatok keveréke lehet.

A régi munkavállalói adatok sem veszélytelenek

Egy régi corporate directory kevésbé súlyos, mint frissen megszerzett credentialök vagy személyes pénzügyi adatok.

De ettől még komoly támadási alapanyag lehet.

A következők akár évekig változatlanok maradhatnak:

• vállalati e-mail-formátumok;
• osztálynevek;
• irodai helyszínek;
• vezetői struktúrák;
• munkakörök.

Ezek az adatok frissíthetők:

• LinkedInről;
• vállalati weboldalakról;
• közösségi médiából;
• újabb adatszivárgásokból.

Egy támadó például azonosíthatja:

• a pénzügyi munkatársakat;
• a bérszámfejtést;
• HR-alkalmazottakat;
• beszerzési vezetőket;
• IT supportot;
• security csapatokat.

Ezután célzott social engineering kampány építhető rájuk.

A valódi vezetői kapcsolatok, telefonszámok és szervezeti egységek felhasználásával egy hamis kérés sokkal hitelesebbnek tűnhet.

Az adminisztrátorok nevei pedig segíthetik a támadókat abban, hogy pontosan azokat célozzák, akik a legnagyobb hozzáférési jogosultságokkal rendelkeznek.

OAuth-alkalmazásokon keresztül is történhet adatgyűjtés

További fontos kockázatot jelentenek a harmadik féltől származó OAuth-alkalmazások és integrációk.

A szervezetek gyakran kapcsolnak Microsoft 365- és Entra-környezetükhöz külső alkalmazásokat.

Ezek jogosultságot kaphatnak többek között:

• felhasználói profilok;
• csoportok;
• levelek;
• fájlok;
• más vállalati erőforrások

olvasására.

Ha egy támadó:

• kompromittál egy legitim integrációt;
• vagy rávesz egy felhasználót/adminisztrátort rosszindulatú alkalmazás jóváhagyására,

akkor olyan hozzáférést szerezhet, amely független a normál interaktív login folyamattól.

Bizonyos esetekben ez a hozzáférés jelszócsere után is megmaradhat, mert az alkalmazás saját:

• permissionökkel;
• service principallal;
• titkokkal;
• tanúsítványokkal;
• consent granttel

rendelkezik.

Jelenleg nincs bizonyíték arra, hogy TheHatman ezt a módszert alkalmazta volna, de az incidensvizsgálatok során ezt a lehetőséget sem szabad figyelmen kívül hagyni.

Mit kellene megvizsgálniuk az érintett vállalatoknak?

A legfontosabb kérdés annak megállapítása, hogy:

kilenc friss kompromittálásról, kilenc régi adatkészletről vagy több eltérő forrás kombinációjáról van-e szó.

Az érintett szervezeteknek össze kell vetniük a kiszivárgott mintákat:

• jelenlegi Entra-címtárukkal;
• korábbi directory snapshotokkal;
• letiltott accountokkal;
• korábbi szervezeti struktúrával;
• belső egyedi mezőkkel;
• esetleges honeytoken/decoy identitásokkal.

Az Entra sign-in és audit logokban keresni kell többek között:

• szokatlan user enumerationt;
• nagy volumenű Microsoft Graph lekérdezéseket;
• tömeges group- vagy role enumerationt;
• ismeretlen device-okat;
• szokatlan országokat;
• VPN/Tor infrastruktúrát;
• sikertelen password spraying után bekövetkező sikeres logineket.

Vizsgálni kell továbbá:

• új authentication methodokat;
• frissen létrehozott application secret-eket;
• ismeretlen tanúsítványokat;
• szokatlan consent grantokat;
• privilegizált role-változásokat;
• service principal aktivitást.

Azt is tisztázni kell, hogy egyszeri adatletöltés történt-e, vagy a támadó tartós hozzáférést szerzett.

A két forgatókönyv kockázata jelentősen eltér.

A jelszócsere önmagában nem feltétlenül elég

Ha session token vagy alkalmazásjogosultság kompromittálódott, egyszerű password reset nem feltétlenül szünteti meg a hozzáférést.

Szükség lehet:

• refresh tokenek visszavonására;
• aktív sessionök lezárására;
• rosszindulatú alkalmazások eltávolítására;
• OAuth consentek visszavonására;
• application secret-ek rotálására;
• privilegizált accountok felülvizsgálatára.

A szervezeteknek a non-human identity-kre is külön figyelmet kell fordítaniuk.

Minden service accountnak és service principalnak rendelkeznie kell:

• kijelölt tulajdonossal;
• dokumentált üzleti céllal;
• minimális szükséges jogosultsággal;
• credential rotationnel;
• rendszeres access review-val.

Phishing-rezisztens MFA egyre fontosabb

A Microsoft phishing-rezisztens hitelesítési módszereket javasol, például:

• FIDO2 security key;
• passkey;
• certificate-based authentication.

A Microsoft Authenticator number matching csökkentheti az MFA fatigue jellegű támadásokat, mert a felhasználónak egy számot kell megadnia a hitelesítéshez.

Ez azonban nem véd minden adversary-in-the-middle technika ellen, és egy már ellopott session tokent sem érvénytelenít.

A Token Protection további védelmet adhat, mivel támogatott esetekben az authentication tokent kriptográfiailag ahhoz az eszközhöz köti, amelyen kibocsátották.

Így egy ellopott, device-bound token másik gépről történő újrajátszása meghiúsulhat.

A támogatás azonban jelenleg platform- és alkalmazásfüggő, ezért nagyvállalati környezetben érdemes először pilot és report-only Conditional Access policy használatával bevezetni.

Hitelesnek tűnő adatok, de nem bizonyított támadási történet

TheHatman hirdetései hiteles kockázati jeleket és komoly bizonytalanságokat egyszerre tartalmaznak.

A vizsgált minták egy része valóban Microsoft Entra directory adatokhoz hasonlít.

Ha az adatcsomagok ténylegesen tartalmaznak:

• vezetői kapcsolatokat;
• privilegizált adminisztrátorokat;
• service accountokat;
• security group tagságokat,

akkor rendkívül hasznos felderítési térképet biztosíthatnak további támadások előkészítéséhez.

Ugyanakkor:

• az adatrekordok teljes száma nincs függetlenül igazolva;
• az adatok kora bizonytalan;
• a belépési módszer nem ismert;
• több vállalat tagadja a friss kompromittálást;
• nincs bizonyíték Azure vagy Entra zero-day sérülékenységre.

Az esetet ezért jelenleg legpontosabban így lehet leírni:

mintegy 3,64 millió, állítólag vállalati cloud címtárakból megszerzett rekord értékesítési kísérlete – nem pedig igazolt Microsoft Azure kompromittálás és nem kilenc bizonyított, egyidejű adatvédelmi incidens.

Az eset mégis jól mutatja a cloud identitásadatok növekvő értékét.

Egy címtárnak nem kell jelszavakat tartalmaznia ahhoz, hogy veszélyes legyen.

Ha megmutatja:

• kik dolgoznak a szervezetnél;
• ki kinek jelent;
• mely fiókok futtatnak kritikus szolgáltatásokat;
• és mely identitások rendelkeznek adminisztratív jogosultsággal,

akkor egy támadónak gyakorlatilag megadhatja a következő támadási szakasz megtervezéséhez szükséges térképet.