Cloudflare ha revelado ayer que su servidor interno de Atlassian fue vulnerado por un presunto "atacante de estado nacional" que accedió a su wiki Confluence, a la base de datos de errores Jira y al sistema de gestión de código fuente Bitbucket.
El actor de la amenaza accedió primero al servidor Atlassian autoalojado de Cloudflare el 14 de noviembre y luego accedió a los sistemas Confluence y Jira de la empresa tras una etapa de reconocimiento.
"Luego regresaron el 22 de noviembre y establecieron un acceso persistente a nuestro servidor Atlassian utilizando ScriptRunner para Jira, accedieron a nuestro sistema de gestión de código fuente (que utiliza Atlassian Bitbucket) e intentaron, sin éxito, acceder a un servidor de consola que tenía acceso al centro de datos que Cloudflare aún no había puesto en producción en São Paulo, Brasil", dijeron el CEO de Cloudflare Matthew Prince, el CTO John Graham-Cumming y el CISO Grant Bourzikas.
Para acceder a sus sistemas, los atacantes utilizaron un token de acceso y tres credenciales de cuentas de servicio robadas durante un compromiso anterior vinculado a la brecha de Okta de octubre de 2023 que Cloudflare no pudo rotar (de los miles se filtraron durante el compromiso de Okta).
Cloudflare detectó la actividad maliciosa el 23 de noviembre, cortó el acceso del hacker en la mañana del 24 de noviembre y sus especialistas forenses en ciberseguridad empezaron a investigar el incidente tres días después, el 26 de noviembre.
Mientras abordaban el incidente, el personal de Cloudflare rotó todas las credenciales de producción (más de 5.000 credenciales únicas), segmentó físicamente los sistemas de prueba y de ensayo, realizó un triaje forense en 4.893 sistemas, reimaginó y reinició todos los sistemas de la red global de la empresa, incluidos todos los servidores de Atlassian (Jira, Confluence y Bitbucket) y las máquinas a las que había accedido el atacante.
Los autores de la amenaza también intentaron piratear el centro de datos de Cloudflare en São Paulo, que todavía no se utiliza en producción, pero estos intentos fracasaron. Todos los equipos del centro de datos de Cloudflare en Brasil se devolvieron posteriormente a los fabricantes para garantizar que el centro de datos era 100% seguro.
Los esfuerzos de remediación terminaron hace casi un mes, el 5 de enero, pero la compañía dice que su personal sigue trabajando en el endurecimiento del software, así como en la gestión de credenciales y vulnerabilidades.
La compañía afirma que esta brecha no afectó a los datos o sistemas de los clientes de Cloudflare; sus servicios, sistemas de red globales o configuración tampoco se vieron afectados.
"Aunque entendemos que el impacto operativo del incidente es extremadamente limitado, nos tomamos este incidente muy en serio porque un agente de amenazas había utilizado credenciales robadas para acceder a nuestro servidor de Atlassian y accedió a cierta documentación y a una cantidad limitada de código fuente", afirman Prince, Graham-Cumming y Bourzikas.
"Basándonos en nuestra colaboración con colegas de la industria y el gobierno, creemos que este ataque fue realizado por un atacante de un estado nación con el objetivo de obtener acceso persistente y generalizado a la red global de Cloudflare."
"Analizando las páginas wiki a las que accedieron, los problemas de la base de datos de errores y los repositorios de código fuente, parece que buscaban información sobre la arquitectura, la seguridad y la gestión de nuestra red global; sin duda, con la vista puesta en obtener un punto de apoyo más profundo."
El 18 de octubre de 2023, la instancia Okta de Cloudflare fue vulnerada utilizando un token de autenticación robado del sistema de soporte de Okta. Los hackers que vulneraron el sistema de soporte al cliente de Okta también obtuvieron acceso a archivos pertenecientes a 134 clientes, incluidos 1Password, BeyondTrust y Cloudflare.
Tras el incidente de octubre de 2023, la empresa declaró que la rápida respuesta de su Equipo de Respuesta a Incidentes de Seguridad contuvo y minimizó el impacto en los sistemas y datos de Cloudflare y que no se vio afectada la información ni los sistemas de los clientes de Cloudflare.
Otro intento de vulnerar los sistemas de Cloudflare fue bloqueado en agosto de 2022 después de que los atacantes intentaran utilizar credenciales de empleados robadas en un ataque de phishing, pero fracasaron porque no tenían acceso a las claves de seguridad de conformidad con FIDO2 emitidas por la empresa de las víctimas.
Fuente: bleepingcomputer