Стана ясен виновникът за атаките към клиентите на Snowflake

Все повече подробности излизат около атаката над клиентите на Snowflake, която наскоро WIRED написаха, че може е една от най-големите в историята.

През май един от най-големите клауд доставчици и компания за анализ на данни Snowflake алармира за атаки към клиентите им. Скоро след като разбират, че нещо нередно се случва те се свързват с компанията за киберсигурност Mandiant за помощ. И макар и да отричат вина в случая се оказва, че около 560 големи корпоративни техни клиента са засегнати. За две от жертвите вече ви разказахме – испанската банка Santander и компанията за продажба на билети за събития Ticketmaster. WIRED предава, че в първия случай са откраднати данни за банковите сметки на 30 милиона клиента на Santander Bank. Отделно от това са взети 28 000 000 номоера на банкови кредитни карти, шест милиона номера на сметки и баланса по тях. В случая с Ticketmaster е била открадната информацията на над половин милиард потребители на услугата. След неуспех за продажбата им, те бяха пуснати в BreachForums. Именно и хакерска група, администрираща форума и подвизаваща се с псевдонима ShinyHunters, поемат отговорността за всичко.

В статия, публикувана тази седмица в WIRED, ShinyHunters разкриват и повече подробности около атаките. Те твърдят, че всичко започва след заразяването на компютър на служител на EPAM Systems. Компанията е голяма софтуерна фирма, предоставяща различни дигитални услуги и софтуерен инженеринг. Основана от беларусина Аркадий Добкин, компанията има големи офиси в Беларус, Украйна и Русия. Скоро след старта на руската агресия в Украйна, EPAM прекратява дейността си в Русия. EPAM се явява важен партньор на Snowflake. Те управляват акаунти на клиентите на компанията, заедно с други дейности, като обучение за работа с клауд платформата.

ShinyHunters заразяват системата на въпросния служител със софтуер за кражба на информация, след което извличат данни от нея. Хакерите успяват да извлекат незащитени данни за Snowflake акаунти, които служителят управлявал. Според EPAM, твърденията на хакерите са лъжа, която служи да заблуди засегнатите страни. Използвайки съхранени в незащитен вид имена и пароли на компютрите или с данни от стари пробиви, ShinyHunters успели да влязат в акаунтите на десетки клиенти на Snowflake. Акаунтите, използващи двойна защита били незасегнати. WIRED съобщава, че Snowflake не поставят като задължително условие пред клиентите си 2FA защита за акаунтите им.

От EPAM отричат твърденията на ShinyHunters, че те са неволни помощници в последвалите атаки към клиентите на Snowflake.

За да потвърдят казаното от тях, ShinyHunters предоставят на WIRED списък с данните за вход на служители на EPAM, откраднати от Active Directory базата данни на компютъра на жертвата им. Отделно от това, специалист по киберсигурност, преговарящ от името на жертвите с хакерите за размерите на откупите (които ShinyHunters искат за непубликуване на данните), посочва за справка онлайн хранилище. То съдържало данните, извлечени чрез „инфостийлър“ (софтуер, използван за кражба на данни). Тук се включвала пълната история на браузване на жертвата. В нея присъства и EPAM URL адрес, сочещ към Snowflake акаунта на Ticketmaster. Освен него присъствали и съхранени в незащитен вид името и паролата, с която служителя влизал във въпросния акаунт. И независимо, че WIRED споделят на говорител на компанията информацията, EPAM продължават да отричат.

„Хакерите често разпространяват лъжлива информация, за да прокарват тезите си“, заявява за изданието въпросният говорител. „Придържаме се към политика да не се ангажираме с дезинформация и поддържаме силни мерки за сигурност с цел защита на клиентите и операциите ни“. Впоследствие WIRED предоставили на говорителя пълното име на базираният в Украйна служител, което било извлечено от системата му. Изпратили и името и паролата, с които той се вписвал в Snowflake акаунта на Ticketmaster. Говорителят прекъснал комуникацията между двете страни.

Вземайки предвид различните техники, използвани от хакерите в атаките им към корпорации и компании и зависимостта на същите от външни контрактори, атаката към клиентите на Snowflake може да се окаже наистина една от най-големите в историята. По данни на Statistta, към началото на тази година Snowflake обслужва 9400 корпоративни клиента.