0 
0 As perguntas estão girando em torno das práticas de segurança interna da Uber depois que um hacker de 18 anos obteve o que parece ter sido acesso administrativo completo a partes críticas da infraestrutura de TI da empresa usando as credenciais de VPN de um funcionário como um vetor de acesso inicial.
Numerosas capturas de tela que o suposto invasor postou on-line sugerem que o invasor não precisou violar um único sistema interno para essencialmente dominar o domínio de TI da gigante do compartilhamento de viagens quase inteiramente.
Até agora, a Uber não divulgou detalhes do incidente além de dizer que a empresa está respondendo e trabalhando com as autoridades para investigar a violação. Portanto, pelo menos parte do que está sendo relatado sobre o incidente é baseado em uma reportagem do New York Times de 15 de setembro, na qual o adolescente alegou ter obtido acesso às redes internas do Uber usando credenciais obtidas de um funcionário por meio de engenharia social. O invasor usou esse acesso para mover-se lateralmente pelo domínio interno da Uber para outros sistemas críticos, incluindo seus ambientes de e-mail, armazenamento em nuvem e repositório de código.
Desde então, ele postou várias capturas de tela de sistemas internos da Uber para confirmar o acesso que obteve e como foi obtido.
As capturas de tela mostram que o hacker obteve acesso administrativo total aos ambientes AWS, Google Cloud, VMware vSphere e Windows da Uber, bem como a um banco de dados completo de vulnerabilidades em sua plataforma que pesquisadores de segurança descobriram e divulgaram à empresa por meio de um programa de recompensas por bugs. gerenciado pelo HackerOne. Os dados internos acessados pelo invasor parecem incluir métricas de vendas da Uber, informações sobre o Slack e até informações da plataforma de detecção e resposta de endpoint (EDR) da empresa.
Em um tópico de tweet que alguns pesquisadores de segurança republicaram, o usuário do Twitter Corben Leo postou alegações do suposto hacker de que ele usou as credenciais de engenharia social para acessar a VPN do Uber e escanear a intranet da empresa. O hacker descreveu a descoberta de um compartilhamento de rede Uber que continha scripts do PowerShell com credenciais de administrador privilegiadas. “Um dos scripts do PowerShell continha o nome de usuário e a senha de um usuário administrador no Thycotic (PAM). Usando isso, consegui extrair segredos para todos os serviços, DA, Duo, OneLogin, AWS, GSuite”, afirmou o invasor.
Por enquanto, as motivações do atacante não são muito claras. Normalmente, é bastante aparente, mas a única coisa que o hacker fez até agora foi fazer muito barulho, observou que os motoristas do Uber deveriam ser mais pagos e capturas de tela compartilhadas comprovando o acesso.
“Eles pareciam muito jovens e talvez até um pouco descuidados. Algumas de suas capturas de tela tinham janelas de bate-papo abertas e uma tonelada de metadados”, diz Sam Curry, engenheiro de segurança do Yuga Labs que revisou as capturas de tela.
Engenharia Social Pure-Play
O Invincible Security Group (ISG), uma empresa de serviços de segurança com sede em Dubai, afirmou que seus pesquisadores obtiveram uma lista de credenciais administrativas que o agente da ameaça havia reunido. “Parecem ser senhas fortes, o que confirma que foi de fato um ataque de engenharia social que lhe deu acesso à rede interna do Uber”, tuitou o ISG.
Curry diz ao Dark Reading que o invasor parece ter obtido acesso inicial ao comprometer as informações de login de um funcionário e a engenharia social do prompt 2FA de autenticação de dois fatores da VPN dessa pessoa.
“Uma vez que eles tiveram acesso VPN, eles descobriram uma unidade de rede com ‘chaves para o reino’, o que lhes permitiu acessar a hospedagem na nuvem [da Uber] como root no Google Cloud Platform e no Amazon Web Services”, observa Curry. “Isso significa que eles provavelmente tiveram acesso a todas as implantações em nuvem, que provavelmente são a maioria dos aplicativos em execução e armazenamento em nuvem da Uber”.
Um fato significativo é que o funcionário que foi inicialmente comprometido trabalhou na resposta a incidentes, observa ele, acrescentando que normalmente esses funcionários têm acesso a muito mais ferramentas no ambiente da Uber do que funcionários comuns.
“Ter esse nível de acesso e, além disso, o acesso que eles encontraram no script do PowerShell, significa que eles provavelmente não tinham muitas limitações para fazer o que quisessem dentro do Uber”, diz Curry.
Em uma série de tweets, o pesquisador de segurança independente Bill Demirkapi disse que o invasor parece ter obtido acesso MFA persistente à conta comprometida no Uber “engenhando socialmente a vítima para aceitar uma solicitação que permitia ao invasor registrar seu próprio dispositivo para MFA”.
“O fato de os invasores parecerem ter comprometido a conta de um membro da equipe de RI é preocupante”, tuitou Demirkapi . “Os EDRs podem criar ‘backdoors’ para IR, como permitir que as equipes de IR ‘invadam’ as máquinas dos funcionários (se ativadas), potencialmente ampliando o acesso do invasor.”
Bug Bounty Data Access é “Problemático”
O fato aparente de que o invasor obteve acesso aos dados de vulnerabilidade do Uber enviados por meio de seu programa de recompensas de bugs também é problemático, dizem especialistas em segurança.
Curry diz que soube do acesso depois que o hacker postou um comentário sobre o Uber ter sido hackeado nos bilhetes de recompensa de bugs da empresa. Curry já havia descoberto e enviado uma vulnerabilidade ao Uber, que, se explorada, permitiria o acesso a seus repositórios de código. Esse bug foi corrigido, mas não está claro quantas das outras vulnerabilidades que foram divulgadas à empresa foram corrigidas, quantas delas não foram corrigidas e que nível de acesso essas vulnerabilidades poderiam fornecer se exploradas. A situação pode piorar significativamente se o hacker vender os dados de vulnerabilidade para outros.
“Os programas de recompensas por bugs são uma camada importante em programas de segurança maduros”, diz Shira Shamban, CEO da Solvo. “A principal implicação aqui é que o hacker agora conhece outras vulnerabilidades no ambiente de TI da Uber e pode usá-las para configurar backdoors para uso futuro, o que é inquietante”.
As ferramentas de vulnerabilidade e teste de caneta são importantes para permitir que as empresas avaliem e melhorem as posturas de segurança, diz Amit Bareket, CEO e cofundador do Perimeter 81. “No entanto, se as medidas de segurança corretas não forem implementadas, essas ferramentas podem se transformar em espadas de dois lados, permitindo que os maus atores tirem proveito das informações confidenciais que podem conter”, diz ele.
As empresas devem estar cientes disso e certificar-se de que tais relatórios sejam protegidos e armazenados de forma criptografada para evitar o uso indevido para intenção maliciosa, observa Bareket.
É improvável que o incidente mais recente faça muito para melhorar a reputação já um tanto prejudicada da Uber em segurança. Em outubro de 2016, a empresa sofreu uma violação de dados que expôs informações confidenciais de cerca de 57 milhões de passageiros. Mas, em vez de divulgar a violação como era necessário, a empresa pagou US$ 100.000 aos pesquisadores de segurança que relataram a violação no que foi visto como uma tentativa de pagá-los. Em 2018, a empresa resolveu uma ação judicial sobre o incidente por US$ 148 milhões. Chegou a acordos semelhantes, mas muito menores, em ações judiciais sobre os incidentes no Reino Unido e na Holanda.
FONTE: DARK READING