Agent Okta implicat în încălcarea MGM Resorts, susțin atacatorii

Agent Okta implicat în încălcarea MGM Resorts, susțin atacatorii

Marca temporală: 15 septembrie 2023 2:32
Okta Agent Involved in MGM Resorts Breach, Attackers Claim PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Notă: această poveste a fost actualizată pentru a include comentarii din partea ofițerului șef al securității Okta, David Bradbury.

Actorii amenințărilor despre care se crede că s-au aflat în spatele atacurilor cibernetice de săptămâna trecută de la MGM Resorts și Caesars Entertainment spun că au putut încălca sistemele MGM, intrând cumva în platforma Okta a companiei, în special în Agentul Okta, care este clientul ușor care se conectează la Active Directory al unei organizații.

Okta este un furnizor popular de gestionare a identității și accesului (IAM). pentru nor.

„MGM a luat decizia grăbită de a închide fiecare dintre serverele lor Okta Sync după ce am aflat că ne-am pândit în serverele lor Okta Agent, adulmecând parolele persoanelor ale căror parole nu au putut fi sparte din hash-urile controlerului lor de domeniu”, ALPHV. a scris pe site-ul său de scurgeri, într-o declarație pe care cercetătorul Emsisoft Brett Callow tweeted afară. „Acest lucru a dus la dispariția lui Okta complet.”

Declarația ALPHV a adăugat că, după ce a pândit în jurul Okta pentru o zi și a strâns parole, grupul de amenințări a lansat apoi atacuri cibernetice ransomware împotriva a peste 1,000 de hipervizoare ESXi pe 11 septembrie, „... după ce a încercat să ia legătura [cu MGM], dar nu a reușit, ” se spune în declarație.

Grupul de ransomware a precizat că MGM Resorts nu negociază cu ei și amenință cu acțiuni suplimentare dacă nu se încheie un acord financiar.

„Continuăm să avem acces la o parte din infrastructura MGM”, se arată în comunicatul ALPHV. „Dacă nu se ajunge la o înțelegere, vom efectua atacuri suplimentare.” Grupul a mai spus că va elibera datele pe care le-a exfiltrat către Troy Hunt din Have I Been Pwned, pentru a dezvălui în mod responsabil dacă a ales să facă acest lucru.

ALPHV (alias BlackCat) este numele operatorului de ransomware ca serviciu (RaaS) care a furnizat grupul de amenințare Scattered Spider cu malware și servicii de asistență pentru a reuși atacuri cibernetice de cazinou.

Avertismentul lui Okta din august despre atacurile de inginerie socială

Ofițerul șef de securitate al Okta, David Bradbury, confirmă că atacul cibernetic asupra MGM a avut o componentă de inginerie socială, dar adaugă că a avut succes, deoarece actorii amenințărilor erau suficient de sofisticați pentru a-și implementa propriul furnizor de identitate (IDP) și propria bază de date cu utilizatori în sistemul Okta.

„Partea umană a fost simplă, dar partea ulterioară a atacului a fost complexă”, spune el.

Capacitatea de a crea mai multe subgrupuri de identitate este o caracteristică a sistemului Okta, nu un defect, adaugă Bradbury. El sugerează adăugarea unui pas de verificare vizuală la biroul de asistență doar pentru utilizatorii cu cele mai mari privilegii de acces ar stopa aceste atacuri cibernetice.

a avertizat Okta a potențialului pentru atacuri de inginerie socială de acest tip, cu o alertă pe 31 august care detaliază încercările asupra sistemelor Okta de a obține acces privilegiat prin inginerie socială.

„În ultimele săptămâni, mai mulți clienți Okta din SUA au raportat un model consistent de atacuri de inginerie socială împotriva personalului lor IT service desk, în care strategia apelantului a fost să convingă personalul de la service desk să resetați toți factorii de autentificare multifactor (MFA) înscriși de utilizatorii cu privilegii înalte”, a avertizat Okta. „Atacatorii și-au folosit apoi compromiterea conturilor de super-administrator Okta cu privilegii înalte pentru a abuza de funcțiile legitime ale federației de identitate care le-au permis să se uzurpea identitatea utilizatorilor din cadrul organizației compromise.”

Okta a fost, de asemenea, foarte public despre ea relația cu MGM, lucrând cu compania de ospitalitate pentru a oferi „piedele de bază ale experienței supreme pentru oaspeți”, conform site-ului său.

Bradbury spune că Okta va continua să lucreze cu Caesars și MGM pentru răspuns și recuperare, confirmând și rolul lui Okta în încălcarea Caesars.

Noul val de abuz MFA probabil

În mod îngrijorător, acesta ar putea fi primul dintr-un nou val de atacuri cibernetice care vizează utilizatorii cu privilegii înalte, potrivit Callie Guenther, senior manager de cercetare a amenințărilor la Critical Start. La urma urmei, Okta este deja o țintă populară printre actorii criminalității cibernetice.

„Okta, având în vedere centralitatea sa în strategiile IAM ale multor organizații, este în mod natural o țintă atrăgătoare”, spune Guenther. „Cheia nu este să vedem aceste sisteme ca fiind în mod inerent viciate, ci să recunoaștem importanța unei igiene solide de securitate, a monitorizării continue și a partajării rapide a informațiilor despre amenințări.”

Adevărata problemă nu este Okta în sine, potrivit lui Aaron Painter, CEO al Nametag, un furnizor de instrumente de securitate cibernetică pentru helpdesk. Mai degrabă, este pur și simplu faptul că MFA este conceput pentru a identifica dispozitivele, mai degrabă decât oamenii.

„Această vulnerabilitate nu este exclusivă pentru MGM sau Okta; este o problemă sistemică cu autentificarea cu mai mulți factori”, spune Painter. „MFA verifică dispozitivele, nu oamenii. Îi lipsește înregistrarea și recuperarea sigure - două momente în care trebuie să știi care persoană este autentificată. Aceasta este o problemă cunoscută, pentru care MFA nu a fost creat pentru a o soluționa.”

Aceasta este o poveste în curs de dezvoltare.

Timestamp-ul:

Mai mult de la Lectură întunecată