Cisco Talos informó que un actor de ransomware vulneró su red en mayo de 2022, aunque no confirma la extracción de datos desde sus servidores.
Talos, la división de seguridad de Cisco, indicó que tuvo conocimiento de la brecha por primera vez el 24 de mayo y que ha estado trabajando para corregir la situación desde entonces.
El atacante pudo sustraer las credenciales de un empleado de Talos utilizando técnicas de Ingeniería Social. Con una serie de mensajes de phishing de voz de organizaciones aparentemente legítimas, se hizo con el control de la cuenta personal de Google del empleado, donde se sincronizaban sus credenciales de Talos.
Los atacantes acabaron convenciendo al empleado para que aceptara un aviso de autenticación multifactor (MFA), lo que les concedió el control total de la cuenta y el acceso a la VPN de la empresa.
Los avisos MFA han sido criticados anteriormente por ser vulnerables. Un procedimiento reiterado implica que un atacante bombardee el smartphone de un empleado de seguridad con notificaciones push de autorización MFA, a menudo en horas de sueño, esperando que sean aceptadas inadvertidamente, por exasperación o somnolencia.
Una vez dentro de los sistemas de Talos, el atacante utilizó tácticas para mantener su presencia y destruir las pruebas de sus actividades.
Talos expulsó a los atacantes y confirmó que los repetidos intentos de volver a entrar en el entorno a través de los métodos de persistencia desplegados fracasaron.
«El CSIRT y Talos están respondiendo al evento, y no hemos encontrado ninguna evidencia de que el atacante obtuviera acceso a los sistemas internos críticos, como los relacionados con el desarrollo de productos, la firma de código, etc.», señala la compañía en su blog.
Talos atribuyó el ataque a un agente de acceso inicial (IAB) asociado a LAPSUS$ y a la banda de ransomware Yanluowang, aunque sin comentar los supuestos datos publicados en el sitio de filtraciones de la web profunda de este último grupo esta semana.
El miércoles por la noche, Yanluowang publicó un archivo de texto en su sitio de filtraciones en línea, en el que afirmaba tener al menos 82 GB de datos. Estos incluían una amplia gama de acuerdos de no divulgación (NDA) aprobados, algunos de los cuales parecían implicar a empleados de Cisco con años de antigüedad.
Yanluowang contactó inicialmente a BleepingComputer con los archivos que decía haber robado la semana pasada.
En los chats compartidos con el editor, Yanluowang afirmó haber ofrecido a Talos «un muy buen trato» y que si Talos accedía a pagar el rescate, «nadie se enteraría del incidente y de la pérdida de datos».
Sin embargo, la filtración de datos por parte de Yanluowang y la publicación de la entrada del blog de Talos han llevado a los expertos a afirmar que los actores de la amenaza «forzaron a Talos» a revelar la información.
Dado que Talos tiene su sede en Estados Unidos, no está obligada a revelar las filtraciones de datos en un plazo determinado, a diferencia de las empresas sujetas a normativas de protección de datos como el GDPR europeo.
Según Symantec, Yanluowang saltó a la fama en 2021 tras una serie de ataques de ransomware dirigidos a empresas del sector financiero, así como de servicios de TI, consultoría e ingeniería.
Fuente https://diarioti.com/cisco-talos-confirma-filtracion-de-datos/120507
