0 
0 A Uber confirmou que a recente violação de seus sistemas começou com uma conta comprometida pertencente a um contratado.
“É provável que o invasor tenha comprado a senha corporativa do Uber do contratado na dark web, depois que o dispositivo pessoal do contratado foi infectado com malware, expondo essas credenciais”, disse a empresa.
Quem está por trás da violação do Uber?
A violação aconteceu na última quinta-feira (15 de setembro) e foi reivindicada por um hacker que afirma ter 18 anos.
A Uber não explicou o motivo, mas disse acreditar que esse invasor (ou invasores) é afiliado ao grupo de hackers Lapsus$.
“Esse grupo normalmente usa técnicas semelhantes para atingir empresas de tecnologia e, somente em 2022, violou Microsoft, Cisco , Samsung , Nvidia e Okta, entre outras. Também há relatos no fim de semana de que esse mesmo ator invadiu a fabricante de videogames Rockstar Games .”
As técnicas de que eles estão falando incluem bombardear funcionários com um alto volume de solicitações de aprovação de login de dois fatores e confiar na “fadiga do MFA” para que um deles seja finalmente aceito.
O que foi e não foi acessado
Quando o contratado da Uber finalmente aceitou a solicitação, o invasor fez login em sua conta e, a partir daí, “o invasor acessou várias outras contas de funcionários que, em última análise, deram ao invasor permissões elevadas para várias ferramentas, incluindo G-Suite e Slack”.
O invasor também postou uma mensagem em um canal Slack de toda a empresa e reconfigurou o OpenDNS da Uber para exibir uma imagem gráfica aos funcionários em alguns sites internos, acrescentou a Uber.
A empresa delineou uma série de ações que tomou para expulsar o intruso e mantê-lo fora, incluindo o fortalecimento das políticas de MFA.
A Uber diz que até agora não encontrou evidências de que o invasor tenha acessado sistemas voltados para o público que alimentam seus aplicativos, contas de usuários ou seus bancos de dados (no local ou na nuvem pública); nem que o invasor fez alterações em sua base de código.
“Parece que o invasor baixou algumas mensagens internas do Slack, bem como acessou ou baixou informações de uma ferramenta interna que nossa equipe financeira usa para gerenciar algumas faturas”, eles admitiram e acrescentaram que, embora o invasor tenha acesso ao painel em HackerOne, “qualquer relatório de bug que o invasor conseguiu acessar foi corrigido”.
FONTE: HELPNET SECURITY