A empresa Cloudflare, que oferece uma rede de entrega de conteúdo e atende cerca de 20% do tráfego da internet, publicou um relatório sobre a violação de um dos servidores em sua infraestrutura, onde funcionava um site wiki interno baseado na plataforma Atlassian Confluence, um sistema de rastreamento de erros Atlassian Jira e o sistema de controle de versão Bitbucket. A análise mostrou que o invasor conseguiu acessar o servidor utilizando tokens obtidos durante a violação de outubro da empresa Okta, que resultou na vazamento de tokens de acesso.
Após a revelação no outono sobre a violação da Okta, a empresa Cloudflare iniciou um processo de atualização das credenciais, chaves e tokens utilizados pelos serviços da Okta. No entanto, um token e três contas (de várias milhares), que foram comprometidas na violação da Okta, não foram substituídas e continuaram em funcionamento, que foi como o invasor conseguiu explorá-las. Essas credenciais foram consideradas não utilizadas, mas na prática permitiam o acesso à plataforma Atlassian, ao sistema de controle de versão Bitbucket, a uma aplicação SaaS com acesso administrativo ao ambiente Atlassian Jira, e ao ambiente na AWS que atende o catálogo Cloudflare Apps, mas não tinham acesso à infraestrutura CDN nem armazenavam dados confidenciais.
O incidente não afetou os dados e sistemas dos usuários da Cloudflare. A auditoria realizada determinou que o ataque se limitou aos sistemas com produtos Atlassian e não se espalhou para outros servidores, graças à aplicação do modelo de Zero Trust e isolamento de partes da infraestrutura na Cloudflare.
A violação do servidor da Cloudflare foi detectada em 23 de novembro, enquanto os primeiros indícios de acesso não autorizado ao wiki e ao sistema de rastreamento de erros foram registrados em 14 de novembro. Em 22 de novembro, o invasor instalou um backdoor para obter acesso permanente, criado com o ScriptRunner para Jira. No mesmo dia, o invasor conseguiu acesso ao sistema de controle de versão, onde a plataforma Atlassian Bitbucket era utilizada. Após isso, foram realizadas tentativas de conexão com a console servidor, utilizada para acessar um datacenter ainda não em operação no Brasil, mas todas as tentativas de conexão falharam.
Pelo que parece, a atividade do invasor se restringiu ao estudo da arquitetura da rede de entrega de conteúdo e à busca por vulnerabilidades. Durante sua atividade, o invasor utilizou pesquisas na wiki com palavras-chave relacionadas ao acesso remoto, segredos, openconnect, cloudflared e tokens. Foi registrada a abertura de 202 páginas wiki (de 194100) e 36 relatórios de problemas (de 2059357) relacionados à gestão de correção de vulnerabilidades e rotação de chaves. Também foi identificada a transferência de 120 repositórios de código (de 11904), a maioria dos quais estava relacionada a backup, configuração e gerenciamento de CDN, sistemas de identificação, acesso remoto e utilização das plataformas Terraform e Kubernetes. Em alguns desses repositórios, estavam presentes chaves criptografadas deixadas no código, que foram substituídas logo após o incidente, apesar do uso de métodos de criptografia robustos.
Fonte: opennet.ru
