Cloudflare suspeita de ciberataque perpetrado por grupo apoiado por um Estado

A Cloudflare revelou no final da última semana que um agente de ameaça utilizou credenciais roubadas para ganhar acesso a alguns dos sistemas internos. A Cloudflare descobriu o incidente a 23 de novembro, nove dias depois de um cibergrupos – que se acredita ser apoiado por um Estado-nação – ter utilizado credenciais comprometidas no ataque à Okta no mês anterior para entrar em bases de dados internas da Cloudflare.

A empresa de cibersegurança explica que a informação de login roubada, o token de acesso e três credenciais de serviço não foram alteradas após o incidente da Okta, permitindo aos ataques fazer reconhecimento nos sistemas da Cloudflare a partir do dia 14 de novembro.

Os ataques terão ganho acesso ao ambiente AWS, ao Atlassian Jira e Confluence, mas a segmentação da rede preveniu o acesso ao Okta e ao dashboard da Cloudflare, explica a empresa.

Com acesso à suite Atlassian, o agente de ameaça começou a procurar por informação na rede da Cloudflare, pesquisando no Wiki interno por temas como “acesso remoto” ou “client-secret”. Os atacantes criaram uma conta Atlassian para ter acesso persistente ao ambiente no dia 16 de novembro e a 20 do mesmo mês retornaram para verificar que ainda tinham acesso.