Οι διακομιστές του καζίνο MGM κρυπτογραφήθηκαν από επίθεση ransomware

15 Σεπτεμβρίου 2023 by Anastasis Vasileiadis

Μια θυγατρική της ομάδας BlackCat ransomware, επίσης γνωστή ως APLHV, βρίσκεται πίσω από την επίθεση που διέκοψε τις λειτουργίες της MGM Resorts, αναγκάζοντας την εταιρεία να κλείσει τα συστήματα πληροφορικής. Σε ανακοίνωσή της, η ομάδα BlackCat ransomware ισχυρίζεται ότι είχε διεισδύσει στην υποδομή της MGM από την Παρασκευή και κρυπτογράφησε περισσότερους από 100 ESXi hypervisors, αφού η εταιρεία έθεσε εκτός λειτουργίας την εσωτερική υποδομή. Η ομάδα αναφέρει ότι εξαφάνισε δεδομένα από το δίκτυο και διατηρεί πρόσβαση σε ορισμένες από τις υποδομές της MGM, απειλώντας ότι θα αναπτύξει νέες επιθέσεις εάν δεν επιτευχθεί συμφωνία για την καταβολή λύτρων.

Ανάπτυξη Ransomware και κλοπή δεδομένων της MGM

Ο ερευνητής κυβερνοασφάλειας vx-underground αποκάλυψε πρώτος την είδηση ότι οι χάκερς που συνδέονται με την επιχείρηση ransomware ALPHV φέρεται να παραβίασαν την MGM μέσω επίθεσης κοινωνικής μηχανικής. Επικαλούμενες πηγές που γνωρίζουν το θέμα, αναφορές στο διαδίκτυο, ανέφεραν αργότερα ότι ο χάκερ που παραβίασε την MGM Resorts εντοπίζεται από εταιρείες κυβερνοασφάλειας ως Scattered Spider (Crowdstrike). Άλλες εταιρείες χρησιμοποιούν διαφορετικά ονόματα για να εντοπίσουν τον ίδιο δράστη απειλής: 0ktapus (Group-IB), UNC3944 (Mandiant) και Scatter Swine (Okta).

Σύμφωνα με τους δημοσιογράφους του Bloomberg, οι Scattered Spider παραβίασαν επίσης το δίκτυο της Caesars Entertainment, η οποία, σε ανακοίνωση της αμερικανικής Επιτροπής Κεφαλαιαγοράς την Πέμπτη, έδωσε σαφή υπαινιγμό ότι πλήρωσε τον επιτιθέμενο για να αποφύγει τη διαρροή των δεδομένων πελατών που εκλάπησαν κατά την επίθεση. Η απαίτηση για λύτρα φέρεται να ήταν 30 εκατομμύρια δολάρια. Στη σημερινή ανακοίνωσή της, η BlackCat αναφέρει ότι η MGM Resorts παρέμεινε σιωπηλή σχετικά με το κανάλι επικοινωνίας που δόθηκε, υποδεικνύοντας ότι η εταιρεία δεν έχει καμία πρόθεση να διαπραγματευτεί την καταβολή λύτρων. Οι χάκερς τονίζουν ότι η μόνη ενέργεια που είδαν από την MGM ήταν ως απάντηση στην παραβίαση, αποσυνδέοντας κάθε έναν από τους διακομιστές Okta Sync τους, αφού έμαθαν ότι παραμονεύαμε στους δικούς τους

Προς το παρόν, οι χάκερς δηλώνουν ότι δεν γνωρίζουν τι είδους δεδομένα έκλεψαν από την MGM, αλλά υπόσχονται να αποσπάσουν σχετικές πληροφορίες και να τις μοιραστούν στο διαδίκτυο, εκτός αν καταλήξουν σε συμφωνία με την MGM. Για να πιέσουν ακόμη περισσότερο την εταιρεία να πληρώσει, η BlackCat απείλησε ότι θα χρησιμοποιήσει την τρέχουσα πρόσβασή της στις υποδομές της MGM για να “πραγματοποιήσει πρόσθετες επιθέσεις”.

Ποιοι είναι οι Scattered Spider

Οι Scattered Spider πιστεύεται ότι είναι μια ομάδα χάκερς που είναι γνωστό ότι χρησιμοποιούν ένα ευρύ φάσμα επιθέσεων κοινωνικής μηχανικής για να παραβιάσουν εταιρικά δίκτυα. Αυτές οι επιθέσεις περιλαμβάνουν την υποδυόμενη προσωπικότητα του help desk για να εξαπατήσει τους χρήστες ώστε να τους παράσχουν διαπιστευτήρια, επιθέσεις ανταλλαγής SIM για να καταλάβουν τον αριθμό τηλεφώνου μιας στοχευμένης κινητής συσκευής, καθώς και επιθέσεις κόπωσης και phishing MFA για να αποκτήσουν πρόσβαση σε κωδικούς ελέγχου ταυτότητας πολλαπλών παραγόντων. Σε αντίθεση με τους περισσότερους συνεργάτες ransomware που προέρχονται από χώρες της ΚΑΚ, οι ερευνητές πιστεύουν ότι η ομάδα χάκερ αποτελείται από αγγλόφωνους εφήβους και νεαρούς ενήλικες ηλικίας 16-22 ετών. Επιπλέον, λόγω των παρόμοιων τακτικών, οι ερευνητές πιστεύουν ότι η ομάδα επικαλύπτεται με την ομάδα hacking Lapsus$, η οποία είχε παρόμοια σύνθεση ως προς τα μέλη και τις τακτικές.

Μια εκστρατεία Scattered Spider με την ονομασία “0ktapus” χρησιμοποιήθηκε για να στοχεύσει πάνω από 130 οργανισμούς για να κλέψει διαπιστευτήρια ταυτότητας Okta και κωδικούς 2FA, με μερικούς από αυτούς τους στόχους να περιλαμβάνουν τις T-Mobile, MetroPCS, Verizon Wireless, AT&T, Slack, Twitter, Binance, KuCoin, CoinBase, Microsoft, Epic Games, Riot Games, Evernote, AT&T, HubSpot, TTEC και Best Buy. Μόλις οι απειλητικοί φορείς παραβιάσουν ένα δίκτυο, έχουν ιστορικό χρήσης επιθέσεων “Φέρε τον δικό σου ευάλωτο οδηγό” για να αποκτήσουν αυξημένη πρόσβαση σε μια παραβιασμένη συσκευή. Αυτή η πρόσβαση χρησιμοποιείται στη συνέχεια για περαιτέρω πλευρική εξάπλωση στο δίκτυο, ενώ παράλληλα κλέβουν δεδομένα και τελικά αποκτούν πρόσβαση σε διαπιστευτήρια διαχειριστή. Μόλις αποκτήσουν πρόσβαση με διαπιστευτήρια διαχειριστή, μπορούν να πραγματοποιήσουν περαιτέρω επιθέσεις, όπως η πειρατεία της διαχείρισης ενιαίας σύνδεσης, η καταστροφή αντιγράφων ασφαλείας και πιο πρόσφατα, η ανάπτυξη του ransomware BlackCat/ALPHV για την κρυπτογράφηση συσκευών. Ενώ το στοιχείο ransomware είναι μια σχετικά νέα τακτική της ομάδας χάκερ, σχεδόν όλες οι επιθέσεις τους περιλαμβάνουν εκβιασμό, όπου απαιτούν λύτρα εκατομμυρίων δολαρίων σε αντάλλαγμα για να μην δημοσιεύσουν δεδομένα ή για να λάβουν ένα κρυπτογράφημα.

Anastasis Vasileiadis

Ο Anastasis είναι ένας από τους κορυφαίους αρθρογράφους μας, ειδικευμένος σε θέματα κυβερνοασφάλειας.

Με την εμπειρία του, παρέχει στην κοινότητα πολύτιμες γνώσεις και συμβουλές.

https://beacons.ai/cyberkid1987

cyberkid@hacks.gr

Αφήστε μια απάντηση Ακύρωση απάντησης

Κίνδυνος Ασφάλειας WiFi: Απειλούνται Δισεκατομμύρια Χρήστες Android και Οικιακά Δίκτυα Wi-Fi

Δισεκατομμύρια χρήστες Android σε όλο τον κόσμο ενδέχεται να επηρεαστούν από μια νέα ευπάθεια στο WiFi, την οποία οι χάκερ μπορεί να εκμεταλλευτούν για να δημιουργήσουν κλώνους των σημείων πρόσβασης WiFi και να παρακολουθήσουν δεδομένα, ανακάλυψαν ερευνητές. Μια άλλη νέα ευπάθεια επιτρέπει την μη εξουσιοδοτημένη πρόσβαση σε προστατευμένα οικιακά δίκτυα Wi-Fi, αποκαλύπτοντας συσκευές και δεδομένα.

Η πρώτη αδυναμία ασφαλείας επηρεάζει το “wpa_supplicant”, μια υλοποίηση λογισμικού ανοιχτού κώδικα μηχανισμών ασφαλείας για ασύρματα δίκτυα, όπως το WPA (WiFi Protected Access).

Τα ασύρματα δίκτυα Wi-Fi που χρησιμοποιούν το Επιχειρησιακό λειτουργικό του WPA2/3 είναι εκτεθειμένα σε κίνδυνο, όπως απέδειξαν ο Simon Migliano από το top10vpn.com και ο έμπειρος ερευνητής ασφαλείας Mathy Vanhoef.

“Υπάρχουν 2,3 δισεκατομμύρια χρήστες Android σε όλο τον κόσμο που θα μπορούσαν να επηρεαστούν από αυτή την ευπάθεια,” είπαν οι ερευνητές.

Επίσης, αυτή η υλοποίηση ανοιχτού κώδικα βρίσκεται σχεδόν σε όλες τις συσκευές Linux και στο ChromeOS, που χρησιμοποιείται στα Chromebooks.

“Η ευπάθεια του wpa_supplicant επιτρέπει σε κακόποιο να εξαπατήσει το θύμα του να συνδεθεί αυτόματα σε ένα κακόβουλο κλώνο ενός αξιόπιστου δικτύου Wi-Fi για να παρακολουθήσει την κίνησή τους. Δεδομένου ότι η επίθεση δεν απαιτεί καμία ενέργεια από το θύμα, είναι πιθανό το θύμα να μην γνωρίζει ότι έχει γίνει στόχος,” προειδοποιούν οι ερευνητές.

Η ευπάθεια αφορά την υλοποίηση του PEAP (προστατευόμενο πρωτόκολλο επεκτάσιμης πιστοποίησης), το οποίο είναι ένα πρωτόκολλο ασφαλείας που χρησιμοποιείται για να ασφαλίσει καλύτερα τα δίκτυα Wi-Fi. Οι επιτιθέμενοι θα μπορούσαν να παραλείψουν το δεύτερο στάδιο της πιστοποίησης όταν η συσκευή-στόχος δεν έχει διαμορφωθεί σωστά για να επαληθεύσει το διακομιστή πιστοποίησης.

Μια άλλη ευπάθεια επηρεάζει την πλατφόρμα Intel’s iNet Wireless Daemon (IWD), μια ολοκληρωμένη λύση συνδεσιμότητας για Linux, η οποία είναι επίσης ανοιχτού κώδικα και κυρίως χρησιμοποιείται σε οικιακά δίκτυα Wi-Fi.

“Επηρεάζει όλους όσους χρησιμοποιούν το IWD ως σημείο πρόσβασης, καθώς η ευπάθεια δεν εξαρτάται από κάποια κακή διαμόρφωση,” προειδοποιούν οι ερευνητές. “Επιτρέπει σε έναν αντίπαλο να κερδίσει πλήρη πρόσβαση σε ένα υπάρχον προστατευμένο δίκτυο Wi-Fi, εκθέτοντας τους υπάρχοντες χρήστες και συσκευές σε επίθεση.”

Οι κίνδυνοι περιλαμβάνουν επιθέσεις από ransomware, παραβίαση email, κλοπή κωδικών και άλλα.

Δυστυχώς, οι χρήστες Android πρέπει να περιμένουν για ένα νέο ενημερωμένο πακέτο ασφαλείας Android που περιλαμβάνει την επιδιόρθωση του wpa_supplicant.

Αλέξανδρος Βυζάντιος

Hacks.gr

Ο Αλέξανδρος είναι ο ιδρυτής του hacks.gr και η κινητήρια δύναμη πίσω από το όραμά μας. Με πολυετή εμπειρία στον κόσμο του hacking, έχει διαμορφώσει μια κοινότητα που είναι πηγή έμπνευσης και μάθησης για όλους. Με τον προσωπικό του χαρακτήρα και την τεχνογνωσία του, έχει δημιουργήσει έναν χώρο όπου οι λάτρεις του hacking μπορούν να συναντιούνται, να μοιράζονται γνώσεις και να εξελίσσονται.

https://hacks.gr/

alex@hacks.gr

Χάκερς παραβίασαν τα συστήματα του Διεθνούς Ποινικού Δικαστηρίου την περασμένη εβδομάδα

Το Διεθνές Ποινικό Δικαστήριο (ΔΠΔ) αποκάλυψε μια κυβερνοεπίθεση την Τρίτη, αφού ανακάλυψε την περασμένη εβδομάδα ότι τα συστήματά του είχαν παραβιαστεί. Ανέφεραν ότι επί του παρόντος διερευνά το περιστατικό με τη συνδρομή των ολλανδικών αρχών, καθώς οι Κάτω Χώρες λειτουργούν ως χώρα υποδοχής του ΔΠΔ. Το ΔΠΔ περιέγραψε επίσης σχέδια για την εντατικοποίηση των προσπαθειών για την ενίσχυση της άμυνας του στον κυβερνοχώρο, συμπεριλαμβανομένης της επιτάχυνσης της υιοθέτησης της τεχνολογίας cloud.

Προς το παρόν, δεν υπάρχουν διαθέσιμες πληροφορίες σχετικά με την έκταση της φύσης της κυβερνοεπίθεσης και τον αντίκτυπο στα συστήματα του ΔΠΔ ή αν οι δράστες κατάφεραν να αποκτήσουν πρόσβαση ή να εξαφανίσουν δεδομένα ή αρχεία από το δίκτυό του. Το Δικαστήριο αποκάλυψε μόνο ότι “συνεχίζει να αναλύει και να μετριάζει τον αντίκτυπο αυτού του περιστατικού”, εστιάζοντας στη “διασφάλιση της συνέχισης του βασικού έργου του Δικαστηρίου”.

Ο εκπρόσωπος Fadi El-Adballah δήλωσε ότι το ΔΠΔ δεν μπορεί να παράσχει περαιτέρω λεπτομέρειες ή πληροφορίες. Το ΔΠΔ είναι ένα διεθνές δικαστήριο που ερευνά και διώκει τα σοβαρότερα αδικήματα που επηρεάζουν τη διεθνή κοινότητα, συμπεριλαμβανομένων των εγκλημάτων πολέμου, της γενοκτονίας και των εγκλημάτων κατά της ανθρωπότητας. Για παράδειγμα, τον Μάρτιο του 2023, το ΔΠΔ εξέδωσε ένταλμα σύλληψης για τον Ρώσο πρόεδρο Βλαντιμίρ Πούτιν σχετικά με εγκλήματα που συνδέονται με την εισβολή της Ρωσίας στην Ουκρανία.

Το ΔΠΔ ιδρύθηκε το 2002 μετά τη θέση σε ισχύ του Καταστατικού του Διεθνούς Ποινικού Δικαστηρίου της Ρώμης (Καταστατικό της Ρώμης) και από τον Μάρτιο του 2023 έχει 123 κράτη μέλη.