Wszystko, co wiemy o ogromnym włamaniu do Ubera

Uber zhakowany I chłopak wygląda zły. Haker, który w tym tygodniu chwalił się swoimi osiągnięciami za pośrednictwem Telegramu, twierdzi, że ma 18 lat i rzekomo uzyskał tak liberalny dostęp do sieci giganta technologicznego, że udało mu się Slack the Uber Workforce i opublikować zdjęcie Dicka na wewnętrznych stronach firmy .

Uber nie powiedział jeszcze wiele o swojej katastrofie bezpieczeństwa, z wyjątkiem czwartku, kiedy to było Przyznał się Doświadczył „incydentu związanego z cyberbezpieczeństwem”. W piątek firma również opublikowała plik Krótka aktualizacja Twierdzili, że „nie ma dowodów na to, że incydent był związany z dostępem do wrażliwych danych użytkownika”.

Analitycy bezpieczeństwa online szybko przeanalizowali epizod, analizując błędy taktyczne, które mogły doprowadzić do naruszenia, na podstawie informacji, które przecieli sprawca. Rzeczywiście, haker powiedział w tym momencie tylko… rzekomy Nie jest jasne, czy mówią prawdę, czy nie. Jednak Gizmodo skontaktowało się z kilkoma ekspertami, aby zapytać o włamanie i uzyskać ich opinie na temat tego, jak to wszystko się stało.

W jaki sposób haker twierdzi, że włamał się do Ubera?

lubię dużo Ostatnie włamania Wydaje się, że w dużych sieciach korporacyjnych Uber został zhakowany przy użyciu dość podstawowych technik hakerskich. W rzeczywistości, jeśli przestępca okaże się nastolatkiem, oznacza to, że jedna z największych firm technologicznych na świecie została właśnie zhakowana przez kogoś, kto prawdopodobnie nie kwalifikowałby się do więcej niż Skrypt KDE.

Haker z przyjemnością opowiedział wszystkim, w jaki sposób dostali się do sieci Uber. W danych opublikowanych na stronie Telegram i w rozmowy W przypadku New York Times rzekomy haker powiedział, że nakłonił pracownika Ubera do sfałszowania swoich danych logowania poprzez atak socjotechniczny, który sprawił, że wyglądał jak kolega. Dave Mason, dyrektor ds. bezpieczeństwa w firmie Darktrace, powiedział Gizmodo, że nie jest to szczególnie wyrafinowana metoda hakerska.

„Na podstawie tego, co powiedział haker, tak naprawdę nie włamali się na swój sposób” – powiedział Mason. „Zasadniczo oszukali kogoś, aby zrezygnował ze szczegółów uwierzytelniania wieloskładnikowego, a następnie weszli do drzwi wejściowych”. Mason powiedział, że tego typu ataki zawsze były powszechne, ale ich liczba rośnie od czasu, gdy pandemia wprowadziła większość firm w pół-stały tryb pracy z domu.

Wygląda na to, że atak umożliwił hakerowi uzyskanie dostępu do VPN użytkownika, co dało dostęp do sieci firmy Uber. Stamtąd haker rzekomo odkrył dokument lub „wewnętrzny udział dostępu”, który zawierał dane logowania do innych usług i obszarów sieci. Wtedy eskalacja przywilejów w szerszym środowisku firmy była stosunkowo łatwa.

a Awaria MSZ

Od dawna słyszeliśmy, że najpewniejszym sposobem na zapewnienie bezpieczeństwa naszego cyfrowego życia jest wykorzystanie wielu czynników Uwierzytelnianie. MFA uwierzytelnia użytkowników, zmuszając ich do podania wielu informacji (zwykle z co najmniej dwóch różnych urządzeń) w celu zalogowania się na ich konta online. Jednak niektóre formy pomocy makrofinansowej również często mają słabą dyskusję, co może być manewrowość Haker korzystający z inżynierii społecznej lub podstawowej człowiek w środkuAtaki wzorcowe dla danych logowania.

Bill Demirkapi, niezależny badacz bezpieczeństwa, powiedział Gizmodo, że rodzaj MFA, którego używał Uber, nie jest najbezpieczniejszym typem. Zamiast tego Demirkapi sugeruje użycie FIDO2, który uważa się za formę uwierzytelniania „anty-phishingową”. Demirkapi powiedział, że FIDO2 to mechanizm uwierzytelniania oparty na sieci Web, który w przeciwieństwie do bardziej standardowych form MFA weryfikuje, czy pochodzenie routera MFA pochodzi z prawdziwego serwera logowania. „Jeśli atakujący utworzy fałszywą stronę logowania i zażąda FIDO MFA, urządzenie U2F nie odpowie, uniemożliwiając kontynuowanie uwierzytelniania” – dodał.

Standardowe formy uwierzytelniania wieloskładnikowego, takie jak powiadomienia push, wiadomości tekstowe i hasło jednorazowe [one-time-password]itp., chronią przed atakującymi, którzy posiadają tylko dane uwierzytelniające pracowników, ale często nie są przed phishingiem” – powiedział.

Problem polega na tym, że standardowe wyłudzanie informacji przez użytkowników usługi MFA można dość łatwo przeprowadzić przy użyciu powszechnie dostępnych narzędzi internetowych. Demirkapi odnosi się do jednego z tych narzędzi, zwanego „zła gynxdo którego można uzyskać bezpłatny dostęp online. Atakujący może użyć takiego narzędzia do stworzenia fałszywej strony logowania, która wygląda identycznie jak prawdziwa. Jeśli przekona ofiarę do odwiedzenia strony phishingowej, serwer atakującego może „skopiować połączenie do prawdziwego serwera logowania”, aby wszystko było transmitowane Ofiara wchodzi do atakującego.

„Ofiara może wprowadzić swoje dane uwierzytelniające, atakujący je rejestruje, a następnie atakujący wysyła żądanie logowania do prawdziwego serwera” – powiedział Demirkapi. Gdy ofiara twierdzi, że „Standardowy styl wielorodzinny MFA”, nie jest przeprowadzana żadna weryfikacja, aby upewnić się, że ofiara faktycznie znajduje się na prawdziwej stronie logowania. Ofiara akceptuje router, prawdziwy serwer wysyła uwierzytelnione pliki cookie ofiary na serwer atakującego, a osoba atakująca rejestruje i wysyła to do ofiary. Jest to bezproblemowy proces, który umożliwia atakującemu przechwycenie danych uwierzytelniających ofiary, nawet w przypadku powszechnych form uwierzytelniania wieloskładnikowego”.

Czy dane użytkownika są bezpieczne?

Jednym z nieustających pytań dotyczących tego incydentu jest to, czy wpłynęło to na dane użytkownika. W piątek wyszedł Uber zezwolenie który twierdził, że „nie ma dowodów”, że haker miał dostęp do „wrażliwych danych użytkownika (takich jak historia lotów)”. Firma nie podała jednak zbyt wiele kontekstu, co to oznacza. Eksperci ds. Bezpieczeństwa, którzy rozmawiali z Gizmodo, powiedzieli, że (biorąc pod uwagę szeroki dostęp, który haker najwyraźniej uzyskał), z pewnością tak było możliwy Że mogą zobaczyć dane użytkownika.

„Czy to możliwe? Powiedział Demirkapi. W rzeczywistości niektóre zrzuty ekranu, które wyciekły przez atakującego, wydają się pokazywać ograniczony dostęp do informacji o klientach. Jednak samo to nie znaczy wiele, ponieważ tak naprawdę liczy się to, jak bardzo atakujący ma dostęp do informacji o klientach. ” Oczywiście ten zakres jest nieznany.

Mason podobnie zgodził się, że jest to możliwe. „Jeszcze tego nie wiemy, ale nie zdziwiłbym się, gdyby tak się stało” – powiedział, odnosząc się do włamania z 2016 r., które dotknęło firmę. W tym konkretnym przypadku efekt był bardzo zły. Hakerzy ukradli dane osobowe użytkownika . Około 57 milionów użytkowników Uber. Firma nie ujawniła incydentu i potajemnie zapłaciła cyberprzestępcom za usunięcie danych.

W tej chwili najważniejszym pytaniem dla Ubera może być rodzaj brudu, który haker znalazł w firmie przewozowej praktyki biznesowe I czy w ogóle wiedzą, czego szukają.