TECHBOARD #3: Ransomware ochromil japonský cloud, útočníci prolomili VPN Ivanti bez přihlášení

Real world hacks

Útok na cloudového poskytovatele IDC Frontier narušil služby 495 organizacím. Útok na japonského poskytovatele zasáhl čtyři zóny IDCF Cloud. Poskytovatel zpočátku upozorňoval, že některá zákaznická data nemusí být schopen obnovit, a objevily se také obavy o cloudové zálohy.

Podle aktualizovaného oznámení IDC Frontier se situace později částečně zlepšila a podařilo se zachovat snapshoty pro 194 ze 495 zákazníků. Ostatní se při obnově musí spoléhat na vlastní zálohy. Obnovení zálohovací služby 18. října neznamenalo obnovení všech napadených systémů.

Případ ukazuje, že cloud není nezničitelný a snapshot automaticky neznamená bezpečnou zálohu. Pokud útočník kompromituje infrastrukturu poskytovatele, může ohrozit produkční data i mechanismy jejich obnovy.

Českému Rohlíku unikla zákaznická komunikace včetně citlivých údajů. Útočník pronikl do nástroje zákaznické podpory a získal jména, kontakty a obsah záznamů komunikace či telefonátů. Někteří zákazníci sdělili také hesla nebo platební údaje. Rohlík oznámil, že jeho přihlašovací a platební systémy napadeny nebyly. Ukradené rozhovory však mohou posloužit k přesvědčivým podvodným telefonátům.

Údaje o 8,8 milionu lidí z dánského registru osob (CPR) získal útočník prostřednictvím účtu externího dodavatele. Podle The Register se útočník, který se k činu hlásí, dostal dovnitř přes účet chráněný heslem „123456“. Mezi 10. a 20. zářím proběhlo přibližně 14 milionů automatizovaných dotazů. Zneužití odhalili až 2. října, kdy si zaměstnanec resortu všiml faktury s nezvykle vysokou aktivitou.

Svět zranitelností

Plně aktualizované VPN zařízení společnosti Ivanti lze prolomit pomocí tří zero-day zranitelností. Společnost Volexity zaznamenala aktivní zneužívání od 3. října. Zařízení používalo tehdy aktuální verzi 22.8R2.4. Řetězec zranitelností umožnil útočníkům bez autentizace spouštět kód s oprávněními root.

První krok využíval rozdíl mezi kontrolou přístupu podle URL a směrováním požadavku podle HTTP hlavičky X-DSCGI-PATH, díky čemuž se útočníci dostali k chráněnému CGI skriptu. Následně zneužili race condition při nahrávání a odstraňování souboru. Eskalace oprávnění na root proběhla prostřednictvím dočasné úpravy knihovny v paměti a manipulace s konfigurací DSCache, které důvěřovala privilegovaná služba.

Zajímavé je, že útočníci nepotřebovali trvalý webshell. Po vykonání příkazů obnovovali změny v paměti a mazali logy, takže je nemusel odhalit ani Ivanti Integrity Checker. Následně vyhledávali doménové přihlašovací údaje, hesla LAPS a obnovovací klíče BitLocker.

Microsoft opravil rekordních 1 411 zranitelností včetně tří zero-day. Jedna z nich, CVE-2026-96951, byla aktivně zneužívána k obejití ochrany Mark of the Web, další dvě byly veřejně známé. Aktualizace zároveň zpřísnila používání NTLMv1. Pokud není nastavena hodnota BlockNtlmSSO, Windows nyní NTLMv1 pro jednotné přihlášení blokuje. To může narušit Wi-Fi, Ethernet či VPN tam, kde se NTLMv1 stále používá. Jde o záměrnou změnu, nikoli o chybu.

Zranitelnost v PAN-OS umožňuje přihlášenému útočníkovi získat oprávnění root na firewallu. CVE-2026-0322 zasahuje do správcovského rozhraní firewallů Palo Alto Networks a systému Panorama. Výrobce potvrdil omezené zneužívání. Prioritou je aktualizace a omezení přístupu ke správě zařízení.

AI/LLM novinky

Útočníci začínají skrývat instrukce pro AI agenty do HTTP hlaviček, které uživatel při prohlížení webu nevidí. Výzkumníci ze Signals Corps analyzovali 217 milionů webových odpovědí. Hlavičky určené pro AI se našly na 7 959 webech. Ve 30 případech obsahovaly pokus o prompt injection a 22 z nich byly žerty. Model lze ovlivnit pouze tehdy, pokud mu nástroj hlavičky předá a zadání přiznává webu autoritu.

CITADELO NEWS

Šifrování BitLocker nemusí zaručit bezpečnost dat při fyzickém přístupu k zařízení. V článku o jeho bezpečnosti se věnujeme rizikům, která mohou oslabit ochranu šifrovaných disků.

Průmyslové systémy z hlediska úrovně kybernetické bezpečnosti výrazně zaostávají. V článku o bezpečnosti OT přibližujeme význam segmentace IT a OT, ochrany vzdáleného přístupu a bezpečného penetračního testování.

Odolala by vaše infrastruktura podobnému útoku?

I plně aktualizované systémy mohou obsahovat zranitelnosti, které útočníkům umožní proniknout do firemní sítě. Penetrační testování od Citadelo pomáhá odhalit slabá místa dříve, než je útočníci zneužijí.