Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon Los robos de cuentas de Snowflake afectaron al hackeo del Banco Santander y Ticketmaster

sábado, 1 de junio de 2024 | Publicado por el-brujo | Editar entrada

Un actor de amenazas que reivindica las recientes hackeos del Banco Santander y Ticketmaster afirma que robaron datos tras robar la cuenta de un empleado de la empresa de almacenamiento en la nube Snowflake. Sin embargo, Snowflake refuta estas afirmaciones, afirmando que las recientes violaciones fueron causadas por cuentas de clientes mal protegidas.


La plataforma de datos en la nube de Snowflake es utilizada por 9.437 clientes, entre los que se encuentran algunas de las mayores empresas del mundo, como Adobe, AT&T, Capital One, Doordash, HP, Instacart, JetBlue, Kraft Heinz, Mastercard, Micron, NBC Universal, Nielsen, Novartis, Okta, PepsiCo, Siemens, US Foods, Western Union, Yamaha y muchas otras.

Según la empresa de ciberseguridad Hudson Rock, el autor de la amenaza afirmó que también obtuvo acceso a datos de otras empresas de alto perfil que utilizan los servicios de almacenamiento en la nube de Snowflake, entre ellas Anheuser-Busch, State Farm, Mitsubishi, Progressive, Neiman Marcus, Allstate y Advance Auto Parts.


Para ello, dicen que eludieron el proceso de autenticación segura de Okta iniciando sesión en la cuenta de ServiceNow de un empleado de Snowflake utilizando credenciales robadas. A continuación, afirman que pudieron generar tokens de sesión para exfiltrar datos pertenecientes a clientes de Snowflake.

«Para decirlo sin rodeos, una sola credencial resultó en la exfiltración de potencialmente cientos de empresas que almacenaban sus datos utilizando Snowflake, con el propio actor de la amenaza sugiriendo que 400 empresas están afectadas», dijo Hudson Rock.

«[E]l actor de la amenaza compartió con los investigadores de Hudson Rock, lo que demuestra la profundidad de su acceso a los servidores Snowflake. Este archivo documenta más de 2.000 instancias de clientes relacionadas con los servidores de Snowflake en Europa.»

El actor de la amenaza afirma que quería chantajear a Snowflake para que le recomprara los datos robados por 20 millones de dólares, pero la empresa no respondió a sus intentos de extorsión.

Hudson Rock añadió que un empleado de Snowflake fue infectado por un Infostealer de tipo Lumma en octubre. El malware robó sus credenciales corporativas a la infraestructura de Snowflake, como se ve en una captura de pantalla compartida por el actor de la amenaza e incrustada a continuación.


El director de tecnología de Mandiant Consulting, Charles Carmakal, dijo que Mandiant ha estado ayudando en las últimas semanas a los clientes de Snowflake que se vieron comprometidos.

Las investigaciones de la empresa hasta ahora indican que los actores de la amenaza probablemente utilizaron credenciales robadas por malware de robo de información para obtener acceso a los inquilinos Snowflake de las víctimas.

«Cualquier solución SaaS que esté configurada sin autenticación multifactor es susceptible de ser explotada masivamente por actores de amenazas. Animamos a todos los usuarios de la nube a implementar 2 factores o mejor y restricciones basadas en IP", advirtió Carmakal.

«Anticipamos que los actores de amenazas replicarán esta campaña a través de otras soluciones SaaS que contienen datos empresariales sensibles»

Snowflake confirma los hackeos de cuentas de clientes

Snowflake no confirmó el informe de Hudson Rock, sino que afirmó que el atacante comprometió las cuentas de los clientes en estas violaciones, y no explotó ninguna vulnerabilidad o error de configuración en los productos de la compañía.

El proveedor de almacenamiento en la nube también advirtió a los clientes el viernes que está investigando «un aumento» de los ataques dirigidos a algunas de sus cuentas, con Snowflake CISO Brad Jones añadiendo que algunas cuentas de clientes se vieron comprometidas el 23 de mayo.

«Nos dimos cuenta de un acceso potencialmente no autorizado a ciertas cuentas de clientes el 23 de mayo de 2024. Durante nuestra investigación, observamos un aumento de la actividad de amenazas a partir de mediados de abril de 2024 desde un subconjunto de direcciones IP y clientes sospechosos que creemos que están relacionados con el acceso no autorizado", dijo Jones.

«Hasta la fecha, no creemos que esta actividad esté causada por ninguna vulnerabilidad, configuración errónea o actividad maliciosa dentro del producto Snowflake. A lo largo de nuestra investigación en curso, hemos informado rápidamente al número limitado de clientes que creemos que pueden haber sido afectados.»

Jones dice que Snowflake notificó a todos los clientes de los ataques y les instó a proteger sus cuentas y datos mediante la activación de la autenticación de múltiples factores (MFA).

La empresa de nube de datos también publicó un boletín de seguridad con Indicadores de Compromiso (IoC), consultas de investigación y consejos sobre cómo los clientes potencialmente afectados pueden asegurar sus cuentas.

Uno de los IOC indica que los autores de la amenaza crearon una herramienta personalizada denominada «RapeFlake» para filtrar datos de las bases de datos de Snowflake.

Otro mostraba a los autores de la amenaza conectándose a bases de datos mediante las herramientas de gestión de datos DBeaver Ultimate, con registros que mostraban conexiones de clientes desde el agente de usuario 'DBeaver_DBeaverUltimate'.

Fuentes:

https://www.bleepingcomputer.com/news/security/snowflake-account-hacks-linked-to-santander-ticketmaster-breaches/


Etiquetas: , , ,

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.