Cloudflare a r\u00e9v\u00e9l\u00e9 qu’il \u00e9tait la cible d’une attaque probable d’un \u00c9tat-nation dans laquelle l’acteur malveillant a exploit\u00e9 des informations d’identification vol\u00e9es pour obtenir un acc\u00e8s non autoris\u00e9 \u00e0 son serveur Atlassian et finalement acc\u00e9der \u00e0 une partie de la documentation et \u00e0 une quantit\u00e9 limit\u00e9e de code source.<\/p>\n
L’intrusion, survenue entre le 14 et le 24 novembre 2023 et d\u00e9tect\u00e9e le 23 novembre, a \u00e9t\u00e9 r\u00e9alis\u00e9e “dans le but d’obtenir un acc\u00e8s persistant et g\u00e9n\u00e9ralis\u00e9 au r\u00e9seau mondial de Cloudflare”, a indiqu\u00e9 la soci\u00e9t\u00e9 d’infrastructures Web. dit<\/a>d\u00e9crivant l’acteur comme “sophistiqu\u00e9” et qui “op\u00e9rait de mani\u00e8re r\u00e9fl\u00e9chie et m\u00e9thodique”.<\/p>\n Par mesure de pr\u00e9caution, la soci\u00e9t\u00e9 a en outre d\u00e9clar\u00e9 avoir effectu\u00e9 une rotation de plus de 5 000 informations d’identification de production, segment\u00e9 physiquement les syst\u00e8mes de test et de pr\u00e9paration, effectu\u00e9 des tris m\u00e9dico-l\u00e9gaux sur 4 893 syst\u00e8mes, r\u00e9imagin\u00e9 et red\u00e9marr\u00e9 chaque machine de son r\u00e9seau mondial.<\/p>\n L’incident a impliqu\u00e9 une p\u00e9riode de reconnaissance de quatre jours pour acc\u00e9der aux portails Atlassian Confluence et Jira, \u00e0 la suite de laquelle l’adversaire a cr\u00e9\u00e9 un compte utilisateur Atlassian malveillant et a \u00e9tabli un acc\u00e8s persistant \u00e0 son serveur Atlassian pour finalement obtenir l’acc\u00e8s \u00e0 son syst\u00e8me de gestion de code source Bitbucket au moyen du Cadre de simulation d’adversaire Sliver.<\/p>\n Pas moins de 120 r\u00e9f\u00e9rentiels de codes ont \u00e9t\u00e9 consult\u00e9s, dont 76 auraient \u00e9t\u00e9 exfiltr\u00e9s par l’attaquant.<\/p>\n “Les 76 r\u00e9f\u00e9rentiels de code source \u00e9taient presque tous li\u00e9s au fonctionnement des sauvegardes, \u00e0 la configuration et \u00e0 la gestion du r\u00e9seau mondial, au fonctionnement de l’identit\u00e9 chez Cloudflare, \u00e0 l’acc\u00e8s \u00e0 distance et \u00e0 notre utilisation de Terraform et Kubernetes”, a d\u00e9clar\u00e9 Cloudflare.<\/p>\n “Un petit nombre de r\u00e9f\u00e9rentiels contenaient des secrets crypt\u00e9s qui ont \u00e9t\u00e9 imm\u00e9diatement altern\u00e9s, m\u00eame s’ils \u00e9taient eux-m\u00eames fortement crypt\u00e9s.”<\/p>\n L’acteur malveillant aurait alors tent\u00e9 en vain “d’acc\u00e9der \u00e0 un serveur de console ayant acc\u00e8s au centre de donn\u00e9es que Cloudflare n’avait pas encore mis en production \u00e0 S\u00e3o Paulo, au Br\u00e9sil”.<\/p>\n L’attaque a \u00e9t\u00e9 r\u00e9alis\u00e9e en utilisant un jeton d’acc\u00e8s et trois informations d’identification de compte de service associ\u00e9es \u00e0 Amazon Web Services (AWS), Atlassian Bitbucket, Moveworks et Smartsheet qui ont \u00e9t\u00e9 vol\u00e9es \u00e0 la suite du piratage d’octobre 2023 du syst\u00e8me de gestion des dossiers d’assistance d’Okta.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Violation-de-Cloudflare-les-pirates-informatiques-des-Etats-nations-accedent-au.jpg\")
<\/a><\/center><\/div>\n