CISA και MS-ISAC προειδοποιούν για κυβερνοεπίθεση σε κρατικό οργανισμό

Η CISA και το MS-ISAC εξέδωσαν μια κοινή συμβουλευτική ειδοποίηση που αναφέρει μια κυβερνοεπίθεση σε μια μη ονοματοδοτημένη κυβερνητική οργάνωση ενός κράτους.

Αυτή η κυβερνοεπίθεση έχει προκαλέσει ανησυχία και απαιτεί προσοχή και προληπτικά μέτρα ασφαλείας.

Η επίθεση εκμεταλλεύτηκε έναν λογαριασμό που ανήκε σε πρώην υπάλληλο. Αυτό επέτρεψε στον απειλητικό παράγοντα να πιστοποιηθεί σε ένα εσωτερικό εικονικό ιδιωτικό δίκτυο (VPN) και να βρίσκεται σε επαφή με την νόμιμη κυκλοφορία, προκειμένου να αποφύγει την ανίχνευση. Η υποψία κλοπής διαπιστευτηρίων από μια ξεχωριστή παραβίαση επέτρεψε την πρόσβαση σε έναν εικονικό διακομιστή SharePoint, που οδήγησε στην απόκτηση άλλων διαπιστευτηρίων με διαχειριστικά δικαιώματα για το εσωτερικό δίκτυο και το Microsoft Azure Active Directory (τώρα Microsoft Entra ID). Αν και οι επιτιθέμενοι δεν εκτέλεσαν επιθέσεις εναντίον της υποδομής του Azure cloud, παραβίασαν πληροφορίες οικοδεσπότη και χρηστών και τις δημοσίευσαν στο σκοτεινό διαδίκτυο για οικονομικό όφελος.

Για να μειωθούν οι κίνδυνοι, η οργάνωση όρισε εκ νέου κωδικούς πρόσβασης, απενεργοποίησε τους παραβιασμένους λογαριασμούς και ανέστειλε τα επικυρωμένα προνόμια. Αυτό το περιστατικό υπογραμμίζει τη σημασία της ασφάλειας των εξειδικευμένων λογαριασμών, της εφαρμογής ελέγχου ταυτότητας δύο παραγόντων (MFA) και της υιοθέτησης της αρχής του ελάχιστου προνομίου. Επιπλέον, η σωστή διαχείριση στο Active Directory (AD), η αφαίρεση περιττών λογαριασμών, λογισμικού και υπηρεσιών και η διόρθωση των προεπιλεγμένων ρυθμίσεων στο Azure AD μπορούν να βοηθήσουν στην αποτροπή μη εξουσιοδοτημένης πρόσβασης.

Αυτό το περιστατικό αποδεικνύει τον κίνδυνο που αντιπροσωπεύουν οι απειλητικοί παράγοντες που εκμεταλλεύονται έγκυρους λογαριασμούς, συμπεριλαμβανομένων πρώην υπαλλήλων, για να διεισδύσουν σε οργανισμούς. Αυτό υπογραμμίζει την ανάγκη για αξιόπιστα μέτρα κυβερνοασφάλειας και προληπτικές στρατηγικές διαχείρισης κινδύνων.