Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Lapsus$

Lapsus$

Okta: Pelanggaran Lapsus$ hanya berlangsung 25 menit, mengenai 2 pelanggan

by

Perusahaan manajemen identitas dan akses Okta mengatakan penyelidikan atas pelanggaran Lapsus$ Januari menyimpulkan dampak insiden itu secara signifikan lebih kecil dari yang diperkirakan.

Berdasarkan laporan forensik akhir, Chief Security Officer Okta David Bradbury mengatakan penyerang hanya mengakses dua penyewa pelanggan aktif setelah menguasai satu stasiun kerja yang digunakan oleh seorang insinyur yang bekerja untuk Sitel, penyedia layanan dukungan pelanggan pihak ketiga di pusat kecelakaan.

Dampak terbatas yang tak terduga ini berasal dari jendela waktu yang sempit hanya 25 menit berturut-turut yang dikendalikan oleh aktor ancaman atas workstation yang disusupi pada 21 Januari 2022.

“Selama jangka waktu terbatas itu, pelaku ancaman mengakses dua penyewa pelanggan aktif dalam aplikasi SuperUser (yang telah kami beri tahu secara terpisah), dan melihat informasi tambahan terbatas di aplikasi tertentu lainnya seperti Slack dan Jira yang tidak dapat digunakan untuk melakukan tindakan di Okta penyewa pelanggan,” jelas Bradbury, Selasa.

“Aktor ancaman tidak berhasil melakukan perubahan konfigurasi apa pun, pengaturan ulang MFA atau kata sandi, atau peristiwa ‘peniruan identitas’ dukungan pelanggan.”

CSO Okta menambahkan bahwa perusahaan akan memastikan bahwa penyedia layanannya mematuhi persyaratan keamanan baru, termasuk mengadopsi arsitektur keamanan Zero Trust dan mengautentikasi melalui solusi IDAM Okta untuk semua aplikasi tempat kerja.

Okta juga mengakhiri hubungannya dengan Sitel dan sekarang secara langsung mengelola semua perangkat pihak ketiga dengan akses ke alat dukungan pelanggannya.

Okta mengaku bulan lalu melakukan kesalahan dengan menunda pengungkapan pelanggaran Januari dari kelompok pemerasan data Lapsus$, kesalahan yang disebabkan oleh perusahaan yang tidak mengetahui sejauh mana insiden itu dan dampaknya terhadap pelanggan.

Seperti dilansir BleepingComputer, Okta mulai menyelidiki klaim peretasan setelah Lapsus$ membagikan tangkapan layar di saluran Telegram yang menyiratkan bahwa mereka telah melanggar jaringan pelanggan Okta.

Awalnya, Okta mengatakan bahwa peretas Lapsus$ memperoleh akses Remote Desktop (RDP) ke laptop teknisi dukungan Situs melalui “jendela lima hari” antara 16 Januari dan 21 Januari.

Sitel kemudian menyalahkan pelanggaran pada infrastruktur “warisan” di Sykes yang baru diakuisisi, yang berkontribusi pada insiden itu dan memungkinkan penyerang mengakses sistem insinyur

Sehari setelah itu diungkapkan, CEO Okta Todd McKinnon melabeli brach sebagai “upaya” untuk mengkompromikan akun seorang insinyur dukungan tunggal. Namun, Okta kemudian mengatakan bahwa 366 pelanggannya terkena dampak insiden tersebut.

Okta adalah perusahaan publik yang bernilai lebih dari $6 miliar dan mempekerjakan lebih dari 5.000 orang di seluruh dunia yang menyediakan layanan manajemen identitas dan otentikasi ke lebih dari 15.000 organisasi di seluruh dunia.

Sumber : Bleeping Computer

Tujuh remaja ditangkap sehubungan dengan kelompok peretasan Lapsus$

by

Polisi Kota London telah menangkap tujuh remaja karena dicurigai memiliki hubungan dengan kelompok peretas yang diyakini sebagai kelompok Lapsus$ yang baru-baru ini berkembang biak, lapor BBC News.

“Kepolisian Kota London telah melakukan penyelidikan dengan mitranya terhadap anggota kelompok peretasan,” kata Inspektur Detektif Michael O’Sullivan dari Kepolisian Kota London dalam sebuah pernyataan kepada The Verge. “Tujuh orang berusia antara 16 dan 21 telah ditangkap sehubungan dengan penyelidikan ini dan semuanya telah dibebaskan untuk diselidiki. Penyelidikan kami tetap berlangsung.”

Lapsus$ telah bertanggung jawab atas beberapa pelanggaran keamanan besar di perusahaan teknologi, termasuk Nvidia, Samsung, Ubisoft, Okta, dan Microsoft. Pada hari Rabu, muncul laporan yang menunjukkan seorang remaja yang berbasis di Oxford adalah dalang dari kelompok tersebut. Polisi Kota London tidak mengatakan apakah remaja ini termasuk di antara mereka yang ditangkap.

Setidaknya satu anggota Lapsus$ juga tampaknya terlibat dengan pelanggaran data di EA, pakar keamanan siber Brian Krebs melaporkan pada hari Rabu dalam sebuah artikel ekstensif tentang grup tersebut. Vice menguatkan keterlibatan kelompok dalam pelanggaran itu dalam artikelnya sendiri pada hari Kamis, mencatat bahwa itu adalah “lambang dari peretasan Lapsus$ berikutnya dan besar-besaran.”

Identitas tersangka dalang itu rupanya terungkap oleh pelanggan yang marah dan memarahinya. Menurut laporan Krebs, pemimpin kelompok tersebut membeli Doxbin, sebuah situs di mana orang dapat berbagi atau menemukan informasi pribadi tentang orang lain, tahun lalu, tetapi pemilik situs tersebut adalah pemilik yang buruk. Dia tampaknya menyerahkan kendali pada Januari tetapi membocorkan “seluruh kumpulan data Doxbin” ke Telegram, dan komunitas Doxbin membalas dengan membocorkannya.

BBC News mengatakan telah berbicara dengan ayah remaja itu, yang tampaknya tidak menyadari keterlibatannya dengan kelompok itu.

“Saya belum pernah mendengar tentang semua ini sampai baru-baru ini. Dia tidak pernah berbicara tentang peretasan apa pun, tetapi dia sangat mahir menggunakan komputer dan menghabiskan banyak waktu di depan komputer,” kata sang ayah, menurut BBC News. “Saya selalu berpikir dia sedang bermain game. Kami akan mencoba menghentikannya menggunakan komputer.”

Sumber : The Verge

Peretasan Okta membuat ribuan bisnis waspada

by

Okta, perusahaan autentikasi yang digunakan oleh ribuan organisasi di seluruh dunia, kini telah mengonfirmasi bahwa penyerang memiliki akses ke salah satu laptop karyawannya selama lima hari pada Januari 2022 dan sekitar 2,5 persen pelanggannya mungkin telah terpengaruh tetapi tetap mempertahankannya. layanan “belum dilanggar dan tetap beroperasi penuh.”

Pengungkapan itu muncul ketika grup peretas Lapsus$ telah memposting tangkapan layar ke saluran Telegramnya yang mengklaim sebagai sistem internal Okta, termasuk yang tampaknya menunjukkan saluran Slack Okta, dan lainnya dengan antarmuka Cloudflare.

Setiap peretasan Okta dapat memiliki konsekuensi besar bagi perusahaan, universitas, dan lembaga pemerintah yang bergantung pada Okta untuk mengotentikasi akses pengguna ke sistem internal.

Okta mengatakan bahwa penyerang hanya akan memiliki akses terbatas selama periode lima hari itu – cukup terbatas sehingga perusahaan mengklaim “tidak ada tindakan korektif yang perlu diambil oleh pelanggan kami.”

Inilah yang dikatakan Bradbury dan tidak dipertaruhkan saat salah satu teknisi pendukungnya disusupi:

Dampak potensial bagi pelanggan Okta terbatas pada akses yang dimiliki teknisi pendukung. Teknisi ini tidak dapat membuat atau menghapus pengguna, atau mengunduh database pelanggan. Insinyur dukungan memiliki akses ke data terbatas misalnya, tiket Jira dan daftar pengguna yang terlihat di tangkapan layar. Insinyur dukungan juga dapat memfasilitasi pengaturan ulang kata sandi dan faktor MFA untuk pengguna, tetapi tidak dapat memperoleh kata sandi tersebut.

Menulis di saluran Telegramnya, kelompok peretas Lapsus$ mengklaim telah memiliki akses “Pengguna Super/Admin” ke sistem Okta selama dua bulan, bukan hanya lima hari, bahwa ia memiliki akses ke klien tipis daripada laptop, dan mengklaim bahwa itu menemukan Okta menyimpan kunci AWS di saluran Slack. Grup tersebut juga menyarankan untuk menggunakan aksesnya untuk membidik pelanggan Okta.

The Wall Street Journal mencatat bahwa dalam pengajuan baru-baru ini Okta mengatakan memiliki lebih dari 15.000 pelanggan di seluruh dunia. Ini mencantumkan orang-orang seperti Peloton, Sonos, T-Mobile, dan FCC sebagai pelanggan di situs webnya. Berdasarkan angka “sekitar 2,5 persen” yang diberikan, jumlah pelanggan yang terkena dampak ini dapat mendekati 400.

Juru bicara Okta Chris Hollis mengatakan perusahaan belum menemukan bukti serangan yang sedang berlangsung. “Pada akhir Januari 2022, Okta mendeteksi upaya untuk menyusupi akun teknisi dukungan pelanggan pihak ketiga yang bekerja untuk salah satu subprosesor kami. Masalah itu diselidiki dan ditampung oleh subprosesor.” kata Hollis. “Kami yakin tangkapan layar yang dibagikan secara online terhubung ke acara Januari ini.”

Lapsus$ adalah grup peretas yang mengaku bertanggung jawab atas sejumlah insiden tingkat tinggi yang memengaruhi Nvidia, Samsung, Microsoft, dan Ubisoft, dalam beberapa kasus mencuri ratusan gigabyte data rahasia.

Okta mengatakan telah menghentikan sesi Okta teknisi dukungannya dan menangguhkan akun itu kembali pada bulan Januari, tetapi mengklaim hanya menerima laporan akhir dari perusahaan forensiknya minggu ini.

Pembaruan, 14:38 ET: Menambahkan pernyataan Okta dan mengklaim bahwa peretasan sangat terbatas, tanpa tindakan korektif yang perlu diambil.

Pembaruan, 14:58 ET: Menambahkan klaim grup peretas Lapsus$ bahwa mereka memiliki akses ke thin client daripada laptop, bahwa ia menemukan Okta menyimpan kunci AWS di saluran Slack.

Pembaruan, 11:30 ET: Menambahkan detail dari pernyataan Okta yang diperbarui.

The Verge

Microsoft Menyelidiki Klaim Pelanggaran oleh Geng Pemerasan

by

Microsoft sedang menyelidiki klaim bahwa kelompok peretasan yang berfokus pada pemerasan yang sebelumnya membahayakan perusahaan besar seperti Ubisoft dan Nvidia telah memperoleh akses ke sistem internal Microsoft, menurut sebuah pernyataan dari perusahaan.

Kelompok peretas, yang menggunakan nama sendiri LAPSUS$, telah berhasil menembus gelombang perusahaan baru-baru ini. LAPSUS$ terkadang membuat permintaan tebusan yang tidak biasa dari para korbannya, termasuk meminta Nvidia untuk membuka kunci aspek kartu grafisnya agar lebih cocok untuk menambang cryptocurrency. Kelompok tersebut sejauh ini tidak membuat tuntutan publik terhadap Microsoft.

Pada hari Minggu, LAPSUS$ memposting tangkapan layar yang tampaknya merupakan akun pengembang internal Microsoft ke saluran Telegram mereka. Tangkapan layar tampaknya berasal dari akun Azure DevOps, produk yang ditawarkan Microsoft yang memungkinkan pengembang berkolaborasi dalam proyek.

Proyek khusus yang ditampilkan di tangkapan layar termasuk “Bing_UX,” yang berpotensi merujuk pada pengalaman pengguna mesin pencari Bing Microsoft; “Bing-Source,” menunjukkan akses ke kode sumber mesin pencari; dan “Cortana,” asisten cerdas Microsoft. Bagian lain termasuk “mscomdev,” “microsoft,” dan “msblox,” menunjukkan siapa pun yang mengambil tangkapan layar mungkin memiliki akses ke repositori kode lain juga.

Apakah Anda tahu hal lain tentang pelanggaran ini atau yang lainnya? Kami akan senang mendengar dari Anda. Menggunakan telepon atau komputer non-kerja, Anda dapat menghubungi Joseph Cox dengan aman di Signal di +44 20 8133 5190, Wickr di josephcox, atau mengirim email ke joseph.cox@vice.com.

Tak lama setelah memposting tangkapan layar, administrator saluran Telegram LAPSUS$ menghapus gambar tersebut.

Awal bulan ini, grup tersebut mengatakan di saluran Telegramnya bahwa mereka sedang mencari karyawan di dalam perusahaan yang bersedia bekerja dengan mereka, termasuk Microsoft.

SCREENSHOT YANG DIUPLOAD OLEH LAPSUS$. GAMBAR: TELEGRAM.

Sejak Desember, kelompok tersebut telah melanggar Kementerian Kesehatan Brasil, sejumlah perusahaan Brasil dan Portugis, dan kemudian Nvidia dan Samsung masing-masing pada bulan Februari dan Maret, menurut garis waktu serangan LAPSUS yang diterbitkan oleh perusahaan keamanan siber Silent Push. Kelompok itu juga tampaknya mengambil pujian karena melanggar Ubisoft bulan ini.

Selama beberapa serangannya, kelompok tersebut meminta pembayaran sebagai imbalan untuk tidak membocorkan data internal yang telah dicuri dari para korban. Dalam kasus NVIDIA, para peretas menuntut agar perusahaan membuka sumber driver GPU-nya dan menghapus batasan pada kartu 30-seri di sekitar penambangan Ethereum, The Verge melaporkan pada saat itu. Di grup Telegramnya, LAPSUS$ juga mengklaim bahwa NVIDIA, atau seseorang yang bekerja atas namanya, meretas serangan dan mencoba mengenkripsi materi yang dicuri. Kelompok tersebut akhirnya membocorkan beberapa data NVIDIA serta data yang dicuri dari Samsung.

LAPSUS$ mungkin juga bertanggung jawab atas peretasan raksasa game Electronic Arts, meskipun peretas tidak menggunakan nama LUPSUS$ sampai setelah Motherboard mengungkapkan pelanggaran itu Juni lalu. Dalam posting selanjutnya di forum bawah tanah, seorang pengguna menulis “kredit sebenarnya adalah untuk LAPSUS$, kami akan membocorkan lebih banyak barang.”

Dalam email ke Motherboard, Stefano De Blasi, analis riset ancaman siber di perusahaan keamanan siber Digital Shadows, menunjukkan dua hal yang membuat LAPSUS$ berbeda dari geng pemerasan biasa. Pertama, kelompok tersebut tidak pernah benar-benar menyebarkan ransomware, melainkan mengekstrak data dan menggunakannya untuk memeras target. Ini memungkinkan grup untuk bergerak lebih diam-diam, kata De Blasi. De Blasi juga menunjuk pada kehadiran interaktif LAPSUS$ di Telegram, dan khususnya pesan grup dengan pengikutnya.

Sumber : Vice

Pelanggaran data NVIDIA mengekspos kredensial lebih dari 71.000 karyawan

by

Lebih dari 71.000 kredensial karyawan dicuri dan bocor secara online menyusul pelanggaran data yang diderita oleh raksasa pembuat chip AS Nvidia bulan lalu.

Layanan pemberitahuan pelanggaran data Have I Been Pwned telah menambahkan data milik 71.335 akun yang disusupi ke databasenya pada hari Rabu.

Have I Been Pwned mengatakan data yang dicuri berisi “alamat email dan hash kata sandi NTLM, banyak di antaranya kemudian diretas dan diedarkan dalam komunitas peretasan.”

Nvidia mengkonfirmasi pada 1 Maret bahwa jaringannya dibobol bulan lalu, dengan penyerang mendapatkan akses ke data login karyawan dan informasi kepemilikan.

Nvidia mengatakan sedang menyelidiki “insiden” yang dilaporkan berdampak pada beberapa sistemnya, menyebabkan pemadaman dua hari setelah berita tentang insiden itu pertama kali terungkap hampir seminggu yang lalu.

Pada hari yang sama, kelompok pemerasan data yang dijuluki Lapsus$ mengklaim serangan tersebut dan memberikan rincian mengenai insiden tersebut, termasuk bahwa mereka mencuri 1TB data dari jaringan Nvidia.

Selama akhir pekan, Lapsus$ membagikan lebih banyak detail tentang intrusi dan kebocoran arsip 20GB yang berisi data yang dicuri dari sistem Nvidia, serta hash kata sandi karyawan perusahaan,

Grup tersebut mengancam akan membocorkan info spesifikasi perangkat keras kecuali batasan lite hash rate (LHR) dari firmware GeForce RTX 30 Series tidak dihapus.

Lapsus$ juga meminta Nvidia untuk berkomitmen membuka sumber driver GPU mereka untuk perangkat Windows, macOS, dan Linux hingga Jumat, 4 Maret, untuk menghindari pencurian informasi di semua GPU terbaru, termasuk RTX 3090Ti, bocor secara online.

Lapsus$ mengklaim serangan terhadap Nvidia (BleepingComputer)

Setelah menolak untuk mengkonfirmasi klaim pemeras, Nvidia mengatakan bahwa mereka mendeteksi “insiden keamanan siber yang berdampak pada sumber daya TI” pada 23 Februari.

Perusahaan menambahkan bahwa mereka tidak menemukan bukti serangan ransomware, meskipun pelaku ancaman masih berhasil mencuri kredensial karyawan dan data kepemilikan, membenarkan klaim Lapsus$.

“Kami tidak mengantisipasi gangguan apa pun pada bisnis kami atau kemampuan kami untuk melayani pelanggan kami sebagai akibat dari insiden tersebut.”

Sumber : Bleeping Computer