Il y a tellement de choses à suivre dans le monde de la cybercriminalité… surtout pour les professionnels de la sécurité.
Leaky Weekly est un podcast d'actualité sur la cybercriminalité animé par le chercheur en sécurité Nick Ascoli, qui analyse les actualités les plus importantes concernant les fuites de données, la cybercriminalité et le dark web de la semaine écoulée.
Dans cet épisode de Leaky Weekly, Nick aborde les sujets suivants :
- Violation de données chez AT&T
- Violations de locataires Snowflake
- Sec de siège
- piratage Disney
Avertissement important : Lorsqu’une entreprise est potentiellement victime d’une violation de données, cela ne signifie pas nécessairement qu’elle en est victime, notamment si les auteurs de la menace ne possèdent pas les informations qu’ils prétendent détenir. Les professionnels de la sécurité doivent soutenir les organisations et les équipes de sécurité qui gèrent les violations de données et ne jamais les stigmatiser.
Ce sont des sujets d'actualité que nous avons abordés très brièvement. Consultez les médias spécialisés en cybersécurité pour rester informé. Nous n'avons pas pu tout couvrir ces dernières semaines et nous examinerons les nouveaux sujets et développements dans deux semaines.
Suivez l'actualité en écoutant le podcast ci-dessous. Spotify, Sur Podcasts Apple, visionnez l'épisode vidéo sur YouTube ci-dessous, ou continuez à lire cet article pour en découvrir les points saillants.
Violation de données chez AT&T
Des milliards de SMS et d'enregistrements d'appels volés
Un individu malveillant a contacté un chercheur en sécurité pour lui fournir un échantillon de ses relevés d'appels. Après confirmation de leur authenticité par le chercheur, l'individu malveillant a révélé avoir exploité un compte Snowflake dont l'authentification multifacteur (MFA) était désactivée pour accéder aux informations de ce compte.
Ce cybercriminel a transmis l'information à quelques personnes, dont un membre de ShinyHunters, un groupe de cybercriminels.
Le chercheur en sécurité à l'origine de l'enquête a informé Mandiant, qui a ensuite notifié AT&T, qui a alors déposé une plainte auprès de la SEC et affirmé que l'auteur de la menace associée à la violation avait été arrêté.
L'auteur initial de la menace avait été arrêté, mais son arrestation était en réalité liée à une violation de données chez T-Mobile, il y a quelques années.
AT&T a tenté de contacter ShinyHunters par l'intermédiaire du chercheur en sécurité à l'origine du projet :
- AT&T a versé cinq bitcoins à ShinyHunters pour supprimer les données (le chercheur en sécurité recevant également une part).
- ShinyHunters a envoyé à AT&T une vidéo montrant la suppression des données (bien qu'il soit possible qu'ils en possèdent d'autres copies).
- WIRED a également mis la main sur cette vidéo.
- ShinyHunters a indiqué à plusieurs médias que l'auteur de la menace initiale avait partagé les données avec plusieurs personnes, dont un membre de ShinyHunters (il est donc possible qu'il existe plusieurs copies de ces informations).
L'affaire est en cours et on ignore combien de copies de ces informations circulent. Plusieurs théories existent quant à la manière dont des personnes malveillantes pourraient exploiter ces données, notamment les informations de géolocalisation des appels provenant des antennes-relais de téléphonie mobile.
Infractions des locataires Snowflake
Ces dernières semaines, les violations non autorisées de systèmes appartenant à des tiers majeurs de Snowflake ont fait la une des journaux, notamment dans les cas de Ticketmaster, de la banque Santander, et bien d'autres.
Comment ces violations se sont déroulées : des acteurs malveillants (tels que ShinyHunters) exploitent les journaux de vol d’informations qui contiennent des informations de connexion à divers locataires Snowflake.
Comment fonctionnent les infostealers ?
Un travailleur indépendant a peut-être eu accès à un compte Snowflake. Il travaillait probablement sur son appareil personnel et a téléchargé une version piratée d'un logiciel de conception. Ce logiciel pouvait fonctionner, mais son programme d'installation contenait un logiciel malveillant voleur d'informations. Ce logiciel peut dérober tous les identifiants de connexion enregistrés dans le navigateur de l'utilisateur, les cookies de session, l'historique de navigation, etc. Ces données peuvent ensuite être diffusées sur un forum ou un canal Telegram illicite.
Ce n'est pas forcément la faute de Snowflake, mais plutôt une question d'erreur humaine.
Mandiant et Snowflake ont ont publié un rapport ensemble cela peut s'avérer utile pour comprendre l'ampleur de ce problème et les meilleures pratiques à adopter pour aller de l'avant.
Sec de siège
SiegedSec est un groupe de hacktivistes qui a ciblé la Heritage Foundation, un think tank conservateur américain, et diffusé des informations volées sur leur chaîne Telegram. Cependant, ils se sont dissous peu après, déclarant qu'ils étaient sous le feu des projecteurs et qu'il leur fallait se faire discrets pendant un certain temps.
Ces dernières années, SiegedSec choisit une cause à défendre et cible des entreprises liées à cette campagne. Ces organisations ciblées comprennent des entreprises ayant fait un don à une cause politique particulière ou s'opposant fermement aux valeurs politiques du groupe hacktiviste.
Le leader de SiegedSec a publié sur leur chaîne Telegram (capture d'écran ci-dessous) qu'ils se sont dissous en raison de « [leur] propre santé mentale, du stress de la publicité massive et pour éviter l'attention du FBI ».
Il s'agit d'un bouleversement majeur dans le monde du hacktivisme.
Piratage Disney
Le groupe de hacktivistes NullBulge, qui prétend protéger les droits des artistes, a piraté les messages internes Slack de Disney pour protester contre l'art généré par l'IA.
NullBulge a affirmé qu'il existait deux méthodes de piratage principales :
- Un informateur aurait donné au groupe accès au Slack interne de Disney. Cependant, cet informateur a ensuite coupé l'accès de NullBulge, et le groupe a réagi en divulguant les informations personnelles de cette personne.
- L'article de WIRED évoque la possibilité d'une implication de voleurs d'informations.
La fuite a révélé 1.1 téraoctet de messages, des projets non publiés, du code, de la documentation et d'autres éléments répartis sur 10 000 canaux Slack. NullBulge a publié ces informations sur son blog.
Leaky Weekly et Flare Academy
Leaky Weekly vous est présenté par Flare, la base de données sur la cybercriminalité la plus facile à utiliser et la plus complète au monde, qui s'intègre à votre programme de sécurité en 30 minutes.
Flare propose désormais Flare AcademyNos formations (gratuites !) peuvent donner un nouvel élan à votre carrière en cybersécurité. Animées par des experts, elles abordent des sujets essentiels tels que le renseignement sur les menaces, la sécurité opérationnelle et les techniques d'investigation avancées. Vous pouvez également obtenir des crédits de formation continue (CPE) pour vos certifications en cybersécurité.
Rejoignez le serveur Discord de la communauté Flare Academy Pour rester au courant des formations à venir, consultez les ressources des formations précédentes, discutez avec des professionnels de la cybersécurité (dont Nick !), et bien plus encore.
