Забытые служебные учётные записи открыли доступ к облачным средам чилийских компаний

Работал атакующий с инструментом TeamFiltration. Это открытая платформа для проверки защищённости облачных сред Microsoft 365, которую создал специалист по тестированию на проникновение и представил на конференции DEF CON 30. Платформа закрывает четыре задачи: проверяет, существуют ли учётные записи; подбирает пароли сразу по множеству записей; автоматически собирает почту, переписку и файлы; закрепляется в облачном хранилище, где может незаметно подменять документы на вредоносные. Подмена срабатывает, когда сотрудник в следующий раз открывает подложенный файл. Атрибуцию подтвердил характерный цифровой след, который инструмент оставляет в журналах по умолчанию.

По данным Proofpoint, активность распределилась на три волны. Первая прошла 21-24 июля и затронула около сотни учётных записей в день, главным образом в двух крупных банках. Вторая, 26-28 июля, оказалась заметно массовее: 27 июля число адресатов достигло примерно 1 520. После двухнедельной паузы оператор вернулся 13-16 августа и превысил июльский пик, переключившись на крупную розничную сеть. Именно там 14 и 15 августа произошли все семь подтверждённых взломов и вся последующая активность.

Служебные учётные записи оказались удобной целью по нескольким причинам. Их заводят под конкретную задачу: обработка заявок, согласование платежей поставщикам, работа кассового узла. Потом о них забывают. Пароль, выданный при настройке, остаётся прежним годами, вход по многофакторной аутентификации не включают, а за действиями никто не следит. Ни у одной из семи взломанных записей не нашлось истории входов реальных людей - только фоновые операции. Шесть из семи скомпрометировали в течение семи минут, что указывает на общий или стандартный пароль, выставленный при развёртывании и с тех пор не менявшийся. Личные аккаунты сотрудников устояли: компании требуют периодически менять пароли, и подбор по ним не дал результата.

Последствия вышли за пределы одного сервиса. В течение 90 секунд после успешного входа атакующий сменил инфраструктуру и перешёл на германский узел VPN. Затем он попытался подключиться к корпоративному VPN-порталу - попытка не удалась, доступ заблокировала многофакторная аутентификация. Дальше последовал вход в портал управления Azure, где система сама предложила настроить МФА, подтвердив, что защиты на записи не было. Затем атакующий просматривал файлы в SharePoint и запросил токен доступа для работы с внешними интерфейсами Microsoft. Для остальных взломанных записей после входа фиксировались только обращения к почте, Teams и OneDrive. Такая картина совпадает с автоматическим режимом сбора данных TeamFiltration: журналы входов сами по себе не доказывают утечку, но последовательность действий на неё указывает.

Основной удар пришёлся на розничную торговлю и финансовый сектор. На крупную розничную сеть пришлось 53,2 процента атакованных учётных записей и 78,3 процента всех событий. Один из банков получил 1 536 попыток входа против 114 учётных записей, причём более половины попыток касались 57 руководителей. Отдельные обращения затронули организации за пределами Чили, но их доля осталась небольшой. Географическая концентрация отличает эту кампанию от более ранних эпизодов того же инструмента, где цели распределялись по разным странам.

Для защиты стоит пересмотреть отношение к неживым аккаунтам. Полезно провести инвентаризацию служебных записей и определить владельца для каждой. Пароли на них нужно менять так же регулярно, как на обычных, а многофакторную аутентификацию включать обязательно. Лишние записи лучше отключать, а не оставлять активными на случай будущих задач. Полезен и контроль входов: попытки авторизации из неожиданных регионов, особенно через облачные сети и коммерческие VPN, заслуживают проверки. Отдельного внимания требует доступ к панелям управления и файловым хранилищам со стороны учётных записей, которые раньше этим не занимались.

Кампания напоминает, что попасть в корпоративную облачную среду проще через служебную запись, о которой никто не помнит, чем через взлом сотрудника или неизвестную уязвимость. Стандартный пароль, годами не менявшийся, даёт атакующему тот же доступ, что и украденные данные, и обнаружить такой вход труднее, поскольку он не выглядит подозрительно на фоне обычного фонового трафика.