Internet Archive пострада от нова хакерска атака

Докато хората, поддържащи Internet Archive се опитват да го вдигнат на крака, неизвестна страна пак хакна организацията. Този път това стана чрез изложени на достъп автентикационни токени на Archive.org за GitLab и платформата за обслужване на заявки на сайта Zendesk.

Преди десет дни ви съобщихме за две последователни атаки към Internet Archive. Неизвестна страна е успяла да открадне база данни на сайта, съдържаща информацията на 31 000 000 регистрирани потребителя. Същата страна компрометира и самия сайт на Internet Archive (IA). При достъп до страницата, потребители са почнали да виждат съобщение за хакерска атака, инжектирано от самите хакери. Дали в координирана атака или независимо от първия инцидент, хактивистка група започна да провежда DDoS атаки към сайта. 11 дни след като стана ясно за случая, Archive.org все още не работи. Другите услуги и страници, свързани с проекта са активни. А сега имаме нов инцидент.

BleepingComputer предава, че в последните дни множество хора, използвали преди Zendesk за връзка с екипа по поддръжка са почнали да получават странни съобщения. В тях пишело, че организацията е компрометирана пак, понеже не са променили откраднатите автентикационни токени.

„Обезсърчаващо е да видиш как, макар и да бяха информирани преди седмици, Internet Archive не са се постарали да направят ротация на много от API ключовете, които бяха изложени в GitLab тайните им“, пишат хакерите в писмата, разпратени до жертвите на новата атака. Това е позволило да достигнат до Zendesk токени, осигуряващи им достъп до личните им данни. Става дума за над 800 000 клиентски заявки, които [email protected] е обслужил от 2018 до сега. „Дали сте задавали общ въпрос или сте искали сайта ви да бъде махнат от Wayback Machine, данните ви сега са в ръцете на някакъв случаен човек. Ако не бях аз, щеше да е някой друг“.

Разглеждайки метаданните на изпратените писма, Bleeping установяват, че те са изпратени от авторизиран Zendesk сървър. Отделно от това, в случаите, в които някой е искал свалянето на сайт от Wayback Machine, той е трябвало да удостовери самоличността си допълнително. Ако става дума за опортюнистична атака, целяща да покаже единствено грешките на IA, това едва ли ще е проблем. Но ако това е финансово мотивиран удар, организацията има сериозен проблем. И не само тя.

„Тези имейли идват след като BleepingComputer нееднократно се опита да предупреди Internet Archive, че изходният им код е изложен открито. Това се е случило чрез автентикационният им токен за GitLab, който е бил изложен в открит вид онлайн преди две години“, пише Лорънс Абрамс от сайта на Bleeping. Той дава и любопитна допълнителна информация по случилото се.

Когато ви предадохме за първия пробив, въпросителната беше дали кражбата и DDoS атаките са свързани. Изглежда, че немалко медии са свързали двете атаки. Но те не са. Явно авторът на първата се е почувствал засегнат от тези репортажи и се е свързал с Bleeping за разяснение.

Хакерът (или хакерите) обясняват за Bleeping, че първоначалния пробив се е случил, благодарение на изложен незащитен GitLab конфигурационен файл. Той се е намирал в един от сървърите за разработка на организацията.

Достъпът до този файл позволява на атакуващата страна да свали изходния код на Internet Archive. Той съдържал допълнителни авторизационни токени и записи за вписване в системата за управление на базата данни. Хакерът твърди, че общия обем от информация, която той е успял да свали е в размер на 7TB. А сега най-важният въпрос – причината за атаката.

След новината за инцидента в интернет пространството се появяват множество спекулации, пише Лорънс. От големи издатели и корпорации, които отдавна са взели под прицел Internet Archive до политически мотивирана страна. За съжаление явно не става дума за самарянин, който просто иска Internet Archive да се грижи за безопасността. Bleeping са научили, че хакерът е участвал в групов чат по време на действията си и е споделял данни.

„Тази база данни в момента вероятно се търгува с други хора в ъндърграунд пространството“, пише Лорънс. „И е вероятно да я видим пусната свободно в бъдеще в хакерски форуми, като Breached“.