Ein Cyberangriff, der eine Anwendung von Drittanbietern ausnutzt Datenverletzungen In mehreren Salesforce -Instanzen in Bezug auf die Bedrohungsintelligengruppe von Google. Die Angriffe, die einer Gruppe zugeschrieben wurden, die als UNC6395 verfolgt wurde, nutzte gefährdete OAuth -Token, die mit der Salesloft -Drift -Anwendung zugeordnet sind, um sensible Daten zu mildern.
Die Google Threat Intelligence Group (GIG) identifizierte UNC6395 als Täter einer „weit verbreiteten Datendiebstahl“. Diese Kampagne, die um den 8. August begann und mindestens am 18. August fortgesetzt wurde, zielte auf Salesforce -Instanzen ab, indem sie Authentifizierungs -Token aus nutzten, die dem gehörten Salesloft -Drift Anwendung. Diese Anwendung, die zur Automatisierung von Vertriebsprozessen entwickelt wurde, integriert sich in Salesforce -Datenbanken für Kommunikation, Analyse und Kundenbindungszwecke. Die gefährdeten Token ermöglichten den unbefugten Zugriff auf vertrauliche Informationen, die in den Zielsystemen gespeichert sind.
Das Hauptziel von UNC6395 war die systematische Extraktion großer Datenmengen aus zahlreichen Salesforce -Instanzen von Unternehmen. GTIG-Forscher gaben an, dass die Absicht des Schauspielers darin bestand, sensible Anmeldeinformationen zu ernten und sich auf Amazon Web Services (AWS) -Ag-Zugangstasten (AKIA), Passwörter und Snowflake-bezogene Zugangs-Token zu konzentrieren. Nach der Extraktion können diese Informationen genutzt werden, um unbefugten Zugriff auf verschiedene Systeme und Dienste zu erhalten.
Nach der Exfiltration von Daten führte UNC6395 Suchvorgänge innerhalb der gestohlenen Informationen durch, um Geheimnisse zu identifizieren, die möglicherweise zur Kompromisse bei Opferumgebungen verwendet werden könnten. GTIG erklärte, dass der Akteur bestimmte Abfragen verwendete, um diese Anmeldeinformationen zu identifizieren. Um ihre Aktivitäten zu verbergen, löschte die Gruppe anschließend Abfragejobs und versuchte, Beweise für den Datendiebstahl zu löschen. Durch die Entfernung dieser Protokolle wurde das volle Ausmaß des Verstoßes schwieriger, obwohl GIG Leitlinien für die Untersuchung der potenziellen Datenexposition geliefert hat.
GIG gab Empfehlungen für Sanierung und Minderung aus und betonte, dass die Auswirkungen der Kampagne auf Vertriebsloftkunden beschränkt sind, die ihre Lösungen in den Salesforce -Service integrieren. Es gibt keine Hinweise auf einen direkten Einfluss auf Google Cloud -Kunden. GTIG riet jedoch, dass Kunden, die Salesloft -Drift verwenden, ihre Salesforce -Objekte für alle Google Cloud -Plattform -Dienstkontoschlüsseln überprüfen sollten, da diese möglicherweise während des Datendiebstahls aufgedeckt wurden.
Angesichts der Art des Angriffs forderte GTIG Organisationen auf, Drift integriert in Salesforce zu verwenden, ihre Salesforce -Daten zu berücksichtigen und sofortige Sanierungschritte zu unternehmen. Diese Schritte sind so konzipiert, dass sie den Verstoß enthalten und einen weiteren nicht autorisierten Zugang verhindern.
Um die Situation zu beheben, arbeitete Salesloft mit Salesforce zusammen, um alle aktiven Zugangs- und Aktualisierungstoken zu widerrufen, die mit der Drift -Anwendung verbunden sind. Diese Maßnahme zielte darauf ab, den anhaltenden nicht autorisierten Zugang über die gefährdeten Token zu verhindern. Darüber hinaus hat Salesforce die Driftanwendung aus dem Salesforce AppExchange bis zur weiteren Untersuchung entfernt, sodass die Sicherheitsbedenken für neue Installationen nicht verfügbar sind. GTIG, Salesforce und Salesloft haben die Organisationen mitgeteilt, dass sie vom Datendiebstahl betroffen sind.
Vor diesem Vorfall berichteten mehrere hochkarätige Unternehmen, darunter Adidas, Pandora, Allianz, Tiffany & Co., Dior, Louis Vuitton, Workday und Google, Verstöße über eine Plattform von Drittanbietern, die angeblich Salesforce war. Die Bedrohungsgruppe Shinyhunters übernahm die Verantwortung für viele dieser Angriffe, wobei die Vishing -Angriffe als Hauptmethode des Kompromisses angeführt wurden. Diese früheren Verstöße unterstrichen die Verwundbarkeit von Systemen, die sich auf Integrationen von Drittanbietern stützen.
Im Juni berichtete Google, dass eine finanziell motivierte Bedrohungsgruppe, die als UNC6040 nachverfolgt wurde, IT -Support -Mitarbeiter bei Vishing -Angriffen ausgab, um Zugang zu den Salesforce -Umgebungen der Organisationen zu erhalten. Google erklärte, dass UNC6040 behauptete, Shinyhunters zu sein. Mit dieser Taktik verletzte UNC6040 eine der eigenen Salesforce -Instanzen von Google. In dem Bericht wurde die zunehmende Komplexität von Bedrohungsakteuren bei der Ausrichtung von Salesforce -Umgebungen mithilfe von Social Engineering -Techniken hervorgehoben.
Während sich die Zeitleiste dieser früheren Salesforce -Verstöße mit der UNC6395 Salesloft -Drift -Aktivität überschneidet, stellte Google klar, dass die Kompromissmethoden deutlich unterschiedlich sind. Google hat erklärt, dass die UNC6395 Salesloft -Drift -Aktivität von den auf UNC6040 zugeschriebenen Vishing -Angriffen getrennt ist. Ein GIG -Sprecher bestätigte, dass es keine überzeugenden Beweise für die beiden Kampagnen gibt, was darauf hinweist, dass die Verstöße unabhängige Ereignisse sind, die von verschiedenen Bedrohungsakteuren durchgeführt wurden.
Zusätzlich zu den bereits durchgeführten Sanierungsschritten empfahl Google, dass sich die Organisationen ausgewirkt haben, die nach sensiblen Informationen und Geheimnissen in Salesforce -Objekten suchen und geeignete Maßnahmen ergreifen. Diese Maßnahmen umfassen widerrufene API -Schlüssel, rotierende Anmeldeinformationen und weitere Untersuchungen durchzuführen, um festzustellen, ob die Geheimnisse durch UNC6395 missbraucht wurden. Organisationen sollten auch Kompromisse untersuchen und nach exponierten Geheimnissen scannen, wobei die von GTIG bereitgestellten Indikatoren für Kompromisse (ICS) verwendet werden, wie z. Mandiant Blog -Beitrag. Eine breitere Suche nach Aktivitäten, die von Tor -Exit -Knoten stammen, wird ebenfalls empfohlen.
Weitere Schritte zur Minderung umfassen die Überprüfung von Salesforce -Ereignisüberwachungsprotokollen für ungewöhnliche Aktivitäten, die dem Benutzer der Driftverbindung zugeordnet sind, Authentifizierungsaktivitäten aus der Drift Connected App und Events UniqueQuery -Ereignissen, die SOQL -Abfragen ausführten. Unternehmen können auch einen Salesforce -Support -Fall eröffnen, um bestimmte Abfragen zu erhalten, die vom Bedrohungsakteur verwendet werden, und Salesforce -Objekte nach potenziellen Geheimnissen durchsuchen. Sofortiger Widerruf und Rotation von entdeckten Schlüssel oder Geheimnissen, Zurücksetzen von Passwörtern und Konfigurieren von Sitzungswerten in Sitzungseinstellungen, um die Lebensdauer einer kompromittierten Sitzung zu begrenzen, wird ebenfalls empfohlen.
Google riet den Unternehmen außerdem, Zugriffskontrollen zu härten, indem sie sicherstellte, dass die Anwendungen über die minimalen erforderlichen Berechtigungen, die Durchsetzung von IP -Beschränkungen für die angeschlossene App und die Definition von IP -Bereichen des Anmeldes zur Verfügung stehen, um den Zugriff nur aus vertrauenswürdigen Netzwerken zu ermöglichen. Diese Maßnahmen zielen darauf ab, die Angriffsfläche zu verringern und die möglichen Auswirkungen künftiger Kompromisse einzuschränken.
