Cloudflare, der leverer et indholdleveringsnetværk, som står for cirka 20% af internettets trafik, offentliggjorde en rapport om et hack af en af serverne i deres infrastruktur, hvor der kørte et internt wiki-websted baseret på Atlassian Confluence, fejlhåndteringssystemet Atlassian Jira og kildekodelageret Bitbucket. Undersøgelsen viste, at angriberen havde fået adgang til serveren ved at udnytte tokens, der blev opnået som resultat af oktober-hacket af virksomheden Okta, hvilket resulterede i lækage af adgangstokens.
Efter offentliggørelsen af hacket af Okta om efteråret, indledte Cloudflare en proces til opdatering af de credentials, nøgler og tokens, der anvendes gennem Okta-tjenesterne, men det viste sig, at ét token og tre konti (ud af flere tusinde), der var kompromitteret som følge af Okta-hacket, ikke blev udskiftet og fortsatte med at være aktive, hvilket angriberen udnyttede. De nævnte credentials blev anset for ikke at være i brug, men muliggav faktisk adgang til Atlassian-platformen, kildekode management-systemet Bitbucket, et SaaS-program med administrativ adgang til miljøet Atlassian Jira, samt et setup i AWS, der betjente kataloget Cloudflare Apps, men som ikke havde adgang til CDN-infrastrukturen og ikke opbevarede fortrolige data.
Hændelsen påvirkede ikke Cloudflares brugerdata og -systemer. En gennemgang fastslog, at angrebet var begrænset til systemerne med Atlassian-produkter og ikke spredte sig til andre. servere, takket være anvendelsen af Cloudflares zero trust-model og isoleringen af infrastruktursystemerne.
Hack af Cloudflares server blev opdaget den 23. november, mens de første spor af uautoriseret adgang til wiki'en og fejlhåndteringssystemet blev registreret den 14. november. Den 22. november etablerede angriberen en backdoor for at få permanent adgang, oprettet ved hjælp af ScriptRunner til Jira. Samme dag fik angriberen adgang til kildekodehåndteringssystemet, der benyttede Atlassian Bitbucket. Herefter blev der forsøgt forbindelse til konsollen server, som blev brugt til at få adgang til det endnu ikke operationelle datacenter i Brasilien, men alle forbindelsesforsøg viste sig at være mislykkede.
Det ser ud til, at angrebshandlerens aktivitet begrænsede sig til at studere arkitekturen for indholdsleveringsnetværket og lede efter svagheder. Under sin aktivitet anvendte angriberen wiki-søgning med nøgleord relateret til fjernadgang, hemmeligheder, openconnect, cloudflared og tokens. Der er registreret, at gerningsmanden åbnede 202 wiki-sider (ud af 194100) og 36 fejlrapporter (ud af 2059357), relateret til forvaltningen af sårbarhedsafhjælpning og rotationsnøgler. Derudover blev 120 kode-repositorier (ud af 11904) downloadet, hvoraf de fleste er relateret til backup, opsætning og administration af CDN, identifikationssystemer, fjernadgang samt brugen af Terraform og Kubernetes platforme. I nogle af repository'erne var der efterladte krypterede nøgler i koden, som blev erstattet umiddelbart efter hændelsen, på trods af brugen af pålidelige krypteringsmetoder.
Kilde: opennet.ru
