Един-единствен компрометиран акаунт може да отвори вратата към цялата облачна инфраструктура. Скорошно разследване показва как атакуващ е използвал една компрометирана самоличност, за да премине от възстановяване на парола към достъп до Azure DevOps, пайплайни за разработка и Kubernetes ресурси.
Инцидентът не разчита на софтуерна уязвимост или специализиран зловреден код. Вместо това нападателят е злоупотребил с доверени услуги, които организациите използват ежедневно, превръщайки обикновените права за достъп в път към изходния код, настройките за внедряване и идентификационните данни за инфраструктурата.
Анализаторите на Microsoft идентифицираха активността като Storm-3068 и установиха, че киберпрестъпникът е превзел акаунт чрез функцията за самостоятелно нулиране на парола.
От Microsoft заявяват в доклад, споделен с Cyber Security News (CSN), че регистрирането на собствени методи за автентикация е осигурило на атакуващия постоянен достъп.
Случаят илюстрира защо системите за разработка са се превърнали в привлекателни цели. Предишни атаки срещу акаунти в Microsoft Entra ID по подобен начин са злоупотребявали с легитимни облачни функции, въпреки че са свързани с друг злонамерен субект.
В този случай свързаните хранилища, пайплайни за автоматизация и облачни ресурси са усилили въздействието от една компрометирана самоличност.
Хакери превръщат един компрометиран акаунт в достъп
След като поема контрол над акаунта, Storm-3068 използва легитимни административни инструменти и автоматизирани скриптове, за да проучи Azure DevOps проекти, хранилища, пайплайни и среди за внедряване.
Това разузнаване е помогнало на нападателя да разбере кои системи са свързани и къде могат да се намират ценни идентификационни данни. Azure DevOps е бил полезен, защото обединява софтуерната разработка и облачните операции.
Отделна уязвимост в Azure DevOps MCP подчерта друг начин за злоупотреба с оторизиран достъп, но това проникване вместо това е използвало съществуващите разрешения на акаунта, за да картографира доверените пътища за внедряване и свързаните ресурси.
След това авторът на заплахата е създал компрометиран пайплайн, насочен към масово събиране на идентификационни данни за Kubernetes. Той е внедрил kube агент и е изпълнил множество задачи, предназначени за събиране на конфигурационни файлове на клъстери, съдържащи детайли за връзка и информация за автентикация, необходими за достъп до Kubernetes ресурси.
От Microsoft посочват, че атакуващият е внедрил пайплайн, оторизиран за достъп до повече от 50 ресурса и за автентикация пред услуги. По-късно разследващите установяват, че седем откраднати конфигурационни файла за клъстери са били добавени в хранилище, предоставяйки необходимите идентификационни данни за достъп до целевите Kubernetes клъстери.
Тази последователност показва как една платформа за разработка може да разкрие много повече от изходен код. Хранилищата, връзките с услуги и настройките за внедряване могат да предоставят карта на цялостната среда на организацията, позволявайки на атакуващия да разшири достъпа си чрез връзки, които вече се ползват с доверието на бизнеса.
Облачен достъп
Storm-3068 също така е модифицирал скриптове в пайплайните, за да инсталира агента за отдалечено управление Atera и да изтегли инструмента за тунелиране Chisel.
Разследващите споделят, че тези промени са имали за цел да създадат алтернативни пътища за отдалечен достъп и да разкрият API сървъра на Kubernetes за възможна интеракция с клъстерите.
Командите на Chisel са установили обратен тунел към външен IP адрес, въпреки че предоставеният източник не разкрива този адрес.
Журналите за одитиране на Azure DevOps и историята на версиите в Git са помогнали на разследващите да възстановят хронологията на проникването и да идентифицират откраднатите данни за достъп, поставени в хранилището.
Екипът за реагиране на Microsoft е анализирал записите в системите за самоличност, платформите за разработка и облачната инфраструктура, за да установи докъде е стигнал атакуващият.
Екипът е работил със засегнатата организация чрез ежедневни брифинги, приоритетни насоки за ограничаване на щетите и препоръки, предназначени да намалят възможностите за повторно компрометиране.
DART също така си е сътрудничил с Microsoft Threat Intelligence, за да постави активността в по-широк контекст на заплахите. Тази координация е помогнала за прецизиране на разследването и фокусиране на усилията за реагиране в засегнатите среди при появата на нови подробности.
Организациите трябва да наблюдават активността по нулиране на пароли за повторни опити или модели, засягащи множество потребители. Те трябва да ограничат излагането на привилегировани акаунти на процеси за самостоятелно нулиране и да изискват устойчива срещу фишинг многофакторна автентикация — мерки, съответстващи на отделната уязвимост в портала за нулиране на пароли, съобщена по-рано този месец.
Екипите за разработка трябва да изискват одобрения за промени в кода, да налагат защита на клоновете (branch protection) и да ограничават преките промени (commits) в критични клонове, така че актуализациите да следват установените процеси за преглед.
Разрешенията за пайплайните също трябва да ограничават кой може да създава, променя или изпълнява работни процеси за билд и внедряване, намалявайки възможностите за неоторизирани промени. На последно място, принципът за най-малки привилегии (least-privilege access) трябва да се прилага за всички самоличности, платформи за разработка и облачни ресурси.
Редовните прегледи на контролите за самоличност, DevOps и облачни услуги могат да намалят вероятността един компрометиран акаунт да се превърне в път към производствените среди чрез собствените доверени връзки на организацията.