CERT-EU: Хакерски напад врз Европската комисија откри податоци на 30 субјекти од ЕУ

Сајбербезбедносната служба на Европската Унија (CERT-EU) го припиша хакирањето на cloud системот на Европската комисија на групата за закани TeamPCP, наведувајќи дека како резултат на пробивот биле изложени податоци на најмалку 29 други ентитети на Унијата.

Европската комисија јавно го објави инцидентот на 27 март, откако BleepingComputer побара потврда дека Amazon cloud околината на главното извршно тело на ЕУ била компромитирана.

Два дена претходно, Комисијата го известила CERT-EU за хакот, наведувајќи дека нејзиниот Центар за сајбербезбедносни операции не бил предупреден за злоупотреба на API, можен компромитиран акаунт или каков било абнормален мрежен сообраќај сè до 24 март, односно пет дена по првичната упад.

На 10 март, TeamPCP искористила компромитиран Amazon Web Services API клуч со административни права врз други AWS акаунти на Европската комисија (украден во supply-chain нападот врз Trivy) за да навлезе во Amazon cloud околината на Комисијата.

Во следната фаза од нападот, тие користеле TruffleHog (алатка за скенирање и валидација на cloud креденцијали) за да пронајдат дополнителни тајни податоци, по што прикачиле ново-креиран клуч за пристап на постоечки корисник за да избегнат детекција, пред да продолжат со дополнително извидување и кражба на податоци. TeamPCP е поврзана со supply-chain напади насочени кон повеќе платформи за развој на код, како GitHub, PyPI, NPM и Docker.

Оваа сајберкриминална група исто така го компромитирала LiteLLM пакетот на PyPI во напад што погодил десетици илјади уреди користејќи го нивниот малициозен софтвер за кражба на информации „TeamPCP Cloud Stealer“.

Податоци објавени на dark web од ShinyHunters

На 28 март, групата за изнуда на податоци ShinyHunters ги објавила украдените податоци на нивната dark web страница како архива од 90GB документи (околу 340GB некомпресирани), кои содржат имиња, е-поштенски адреси и содржина од е-пошта.

Анализата на CERT-EU потврди дека напаѓачите украле десетици илјади датотеки кои содржат лични податоци, кориснички имиња, е-поштенски адреси и содржина од е-пошта, и дека пробивот потенцијално влијае на 42 внатрешни клиенти на Европската комисија и најмалку 29 други ентитети на Унијата кои ја користат веб-хостинг услугата europa.eu.

„Заканувачкиот актер го искористил компромитираниот AWS таен клуч за да извлече податоци од засегнатата cloud околина. Извлечените податоци се однесуваат на веб-страници хостирани за до 71 клиент на Europa веб-хостинг услугата: 42 внатрешни клиенти на Европската комисија и најмалку 29 други ентитети на Унијата,“ соопшти CERT-EU во четвртокот.

„Анализата на објавениот dataset досега потврди присуство на лични податоци, вклучувајќи листи со имиња, презимиња, кориснички имиња и е-поштенски адреси, претежно од веб-страниците на Европската комисија, но потенцијално и од корисници низ повеќе ентитети на Унијата,“ се додава.

„Dataset-от исто така содржи најмалку 51.992 датотеки поврзани со излезна е-пошта, со вкупна големина од 2,22 GB. Поголемиот дел од нив се автоматски известувања со малку или без содржина. Сепак, ‘bounce-back’ известувањата, кои се одговори на пристигнати пораки од корисници, може да ја содржат оригиналната содржина испратена од корисниците, што претставува ризик од откривање на лични податоци.“

CERT-EU додаде дека ниту една веб-страница не била исклучена како резултат на овој инцидент ниту била изменета, и дека не е забележано странично движење (lateral movement) кон други AWS акаунти на Комисијата.

Иако анализата на извлечените бази на податоци и датотеки сè уште трае и веројатно ќе бара „значително време“, Комисијата ги известила релевантните органи за заштита на податоци и е во директна комуникација со засегнатите ентитети.

Во февруари, Европската комисија откри уште едно нарушување на безбедноста на податоците, откако било утврдено дека платформа за управување со мобилни уреди, користена за управување со уредите на вработените, била хакирана.

Извори:

• Bleeping Computer – CERT-EU: European Commission hack exposes data of 30 EU entities Bleeping Computer