TECHBOARD #3: Ransomware ochromil japonský cloud, útočníci prelomili VPN Ivanti bez prihlásenia

Real world hacks

Útok na cloudového poskytovateľa IDC Frontier narušil služby 495 organizáciám. Útok na japonského poskytovateľa zasiahol štyri zóny IDCF Cloud. Poskytovateľ spočiatku upozorňoval, že niektoré zákaznícke dáta nemusí dokázať obnoviť a vznikli aj obavy o cloudové zálohy.

Podľa aktualizovaného oznámenia IDC Frontier sa situácia neskôr čiastočne zlepšila, pričom sa podarilo zachovať snapshoty pre 194 z 495 zákazníkov. Ostatní sa musia pri obnove spoliehať na vlastné zálohy. Obnovenie zálohovacej služby 18. októbra neprinieslo obnovenie všetkých napadnutých systémov.

Prípad ukazuje, že cloud nie je nezničiteľný a snapshot nie je automaticky bezpečná záloha. Ak útočník kompromituje infraštruktúru poskytovateľa, môže ohroziť produkčné dáta aj mechanizmy ich obnovy.

Českému Rohlíku unikla zákaznícka komunikácia vrátane citlivých údajov. Útočník prenikol do nástroja zákazníckej podpory a získal mená, kontakty a obsah záznamov komunikácie či telefonátov. Niektorí zákazníci prezradili aj heslá alebo platobné údaje. Rohlík oznámil, že jeho prihlasovacie a platobné systémy napadnuté neboli. Ukradnuté rozhovory však môžu poslúžiť pri presvedčivých podvodných telefonátoch.

Údaje o 8,8 milióna ľudí z dánskeho registra osôb (CPR) získal útočník cez účet externého dodávateľa. Podľa The Register sa útočník, ktorý sa k činu hlási, dostal dnu cez účet chránený heslom „123456“. Medzi 10. a 20. septembrom prebehlo približne 14 miliónov automatizovaných dopytov. Zneužitie odhalili až 2. októbra, keď si zamestnanec rezortu všimol faktúru s nezvyčajne vysokou aktivitou.

Svet zraniteľností

Plne aktualizované VPN zariadenie firmy Ivanti vedia prelomiť tri zero-day zraniteľnosti. Spoločnosť Volexity zaznamenala aktívne zneužívanie od 3. októbra. Zariadenie používalo vtedy aktuálnu verziu 22.8R2.4. Reťazec umožnil útočníkom bez autentifikácie spúšťať kód s oprávneniami root.

Prvý krok využíval rozdiel medzi kontrolou prístupu podľa URL a smerovaním požiadavky podľa HTTP hlavičky X-DSCGI-PATH, vďaka čomu sa útočníci dostali k chránenému CGI skriptu. Následne zneužili race condition pri nahrávaní a odstraňovaní súboru. Eskalácia na root prebehla cez dočasnú úpravu knižnice v pamäti a manipuláciu s konfiguráciou DSCache, ktorej dôverovala privilegovaná služba.

Zaujímavé je, že útočníci nepotrebovali trvalý webshell. Po vykonaní príkazov obnovovali zmeny v pamäti a mazali logy, vďaka čomu ich nemusel odhaliť ani Ivanti Integrity Checker. Následne vyhľadávali doménové prihlasovacie údaje, heslá LAPS a obnovovacie kľúče BitLocker.

Microsoft opravil rekordných 1 411 zraniteľností vrátane troch zero-day. Jedna z nich, CVE-2026-96951, bola aktívne zneužívaná na obídenie ochrany Mark of the Web, ďalšie dve boli verejne známe. Aktualizácia zároveň sprísnila NTLMv1. Ak nie je nastavená hodnota BlockNtlmSSO, Windows teraz NTLMv1 pre jednotné prihlásenie blokuje. To môže narušiť Wi-Fi, Ethernet či VPN tam, kde sa NTLMv1 ešte používa. Ide o zámernú zmenu, nie o chybu.

Diera v PAN-OS umožňuje prihlásenému útočníkovi získať root oprávnenia na firewalle. CVE-2026-0322 zasahuje do manažérskeho rozhrania firewallov Palo Alto Networks a systému Panorama. Výrobca potvrdil obmedzené zneužívanie. Prioritou je aktualizácia a obmedzenie prístupu k správe zariadení.

AI/LLM novinky

Útočníci začínajú skrývať inštrukcie pre AI agentov do HTTP hlavičiek, ktoré používateľ pri prehliadaní webu nevidí. Výskumníci Signals Corps analyzovali 217 miliónov webových odpovedí. Hlavičky určené pre AI sa našli na 7 959 weboch. 30x obsahovali pokus o prompt injection a 22 z nich boli žarty. Model možno ovplyvniť len vtedy, keď nástroj hlavičky odovzdá modelu a zadanie priznáva webu autoritu.

CITADELO NEWS

Šifrovanie BitLocker nemusí zaručiť bezpečnosť dát pri fyzickom prístupe k zariadeniu. V článku o jeho bezpečnosti sa venujeme rizikám, ktoré môžu oslabiť ochranu šifrovaných diskov.

Priemyselné systémy sú z pohľadu úrovne kyberbezpečnosti významne pozadu. V článku o bezpečnosti OT približujeme význam segmentácie IT a OT, ochrany vzdialeného prístupu a bezpečného penetračného testovania.

Odolala by vaša infraštruktúra podobnému útoku?

Aj aktuálne zabezpečené systémy môžu obsahovať zraniteľnosti, ktoré útočníkom umožnia preniknúť do firemnej siete. Penetračné testovanie od Citadelo pomáha odhaliť slabé miesta skôr, než ich útočníci zneužijú.