U.S.A.: colpita un’organizzazione governativa tramite account di un ex dipendente

Feb 19, 2024 Attacchi, Hacking, Intrusione, News, RSS

---

Un’organizzazione governativa statunitense è stata compromessa: CISA (Cybersecurity and Infrastructure Security Agency) ha rilasciato un comunicato di sicurezza dove specifica che dei cybercriminali sono riusciti ad accedere alla rete dell’organizzazione e ottenere diverse informazioni sull’host e l’utente.

“In seguito a un accertamento dell’incident response della rete di un’organizzazione governativa statale, l’analisi ha confermato la compromissione attraverso le credenziali di amministratore di rete di un ex dipendente. Ciò ha permesso agli attaccanti di autenticarsi con successo a un punto di accesso alla VPN” si legge nell’avviso.

L’analisi è avvenuta dopo che l’Agenzia di sicurezza ha trovato alcune informazioni relative all’utenza compromessa e all’host colpito in vendita sul dark web. Stando a quando riportato da CISA, sembra che gli attaccanti non siano riusciti a spostarsi su altri host.

Dopo aver ottenuto accesso alla rete tramite l’account, gli attaccanti hanno ottenuto le credenziali di un secondo utente e hanno eseguito una serie di query LDAP per accedere alle informazioni di rete dell’utente e alle trust relationship tra i domini; i dati, divisi in tre file, sono stati poi pubblicati sul dark web.

In un report più tecnico, CISA ha specificato che il secondo account compromesso non aveva la multi-factor authentication (MFA) e gli attaccanti avrebbero potuto usarlo per spostarsi lateralmente dagli ambienti on-premise al tenant Azure. Al momento non si conosce l’identità degli attaccanti.

L’organizzazione colpita ha disabilitato i privilegi di amministratore dagli account e da tutti gli account per i quali ha ritenuto non fossero necessari; inoltre, ha abilitato la MFA per tutti gli account di amministratore e resettato le password di tutti gli utenti.

Le modalità di attacco sottolineano l’importanza di gestire correttamente gli account delle organizzazioni, disabilitando tutti i permessi superflui ed abilitando l’autenticazione forte per tutti gli utenti, soprattutto per quelli con privilegi di amministratore.

---

• account amministratore, CISA, compromissione di rete, MFA, U.S.A., VPN

---

---