Pas moins de 165 clients de Snowflake auraient vu leurs informations potentiellement expos\u00e9es dans le cadre d’une campagne en cours con\u00e7ue pour faciliter le vol et l’extorsion de donn\u00e9es, ce qui indique que l’op\u00e9ration a des implications plus larges qu’on ne le pensait auparavant.<\/p>\n
Mandiant, propri\u00e9t\u00e9 de Google, qui assiste la plate-forme d’entreposage de donn\u00e9es cloud dans ses efforts de r\u00e9ponse aux incidents, suit le cluster d’activit\u00e9s non encore classifi\u00e9 sous le nom UNC5537<\/strong>le d\u00e9crivant comme un acteur mena\u00e7ant motiv\u00e9 par des raisons financi\u00e8res.<\/p>\n “UNC5537 compromet syst\u00e9matiquement les instances des clients Snowflake en utilisant des identifiants client vol\u00e9s, en proposant des donn\u00e9es de victimes \u00e0 la vente sur des forums de cybercriminalit\u00e9 et en tentant d’extorquer de nombreuses victimes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de renseignement sur les menaces. dit<\/a> le lundi.<\/p>\n “UNC5537 a cibl\u00e9 des centaines d’organisations dans le monde et extorque fr\u00e9quemment ses victimes pour obtenir un gain financier. UNC5537 op\u00e8re sous divers pseudonymes sur les cha\u00eenes Telegram et les forums de cybercriminalit\u00e9.”<\/p>\n Il existe des preuves sugg\u00e9rant que le groupe de piratage informatique est compos\u00e9 de membres bas\u00e9s en Am\u00e9rique du Nord. Il semblerait \u00e9galement qu’il collabore avec au moins un autre parti bas\u00e9 en Turquie.<\/p>\n C’est la premi\u00e8re fois que le nombre de clients concern\u00e9s est officiellement divulgu\u00e9. Auparavant, Snowflake avait not\u00e9 qu’un \u00ab nombre limit\u00e9 \u00bb de ses clients avaient \u00e9t\u00e9 touch\u00e9s par l’incident. L’entreprise compte plus de 9\u00a0820 clients dans le monde<\/a>.<\/p>\n La campagne, comme l’a d\u00e9j\u00e0 soulign\u00e9 Snowflake, d\u00e9coule d’informations d’identification de clients compromises achet\u00e9es sur des forums de cybercriminalit\u00e9 ou obtenues via des logiciels malveillants volant des informations tels que Lumma, MetaStealer, Raccoon, RedLine, RisePro et Vidar. On pense que cela a commenc\u00e9 le 14 avril 2024.<\/p>\n Dans plusieurs cas, les infections par des logiciels malveillants voleurs ont \u00e9t\u00e9 d\u00e9tect\u00e9es sur des syst\u00e8mes de sous-traitants qui \u00e9taient \u00e9galement utilis\u00e9s pour des activit\u00e9s personnelles, telles que les jeux et le t\u00e9l\u00e9chargement de logiciels pirat\u00e9s, ce dernier \u00e9tant un canal \u00e9prouv\u00e9 pour la distribution des voleurs.<\/p>\n Il a \u00e9t\u00e9 constat\u00e9 que l’acc\u00e8s non autoris\u00e9 aux instances client ouvrait la voie \u00e0 un utilitaire de reconnaissance baptis\u00e9 FROSTBITE (alias “rapeflake”), utilis\u00e9 pour ex\u00e9cuter des requ\u00eates SQL et glaner des informations sur les utilisateurs, les r\u00f4les actuels, les adresses IP actuelles, les identifiants de session et les noms d’organisation. .<\/p>\n Mandiant a d\u00e9clar\u00e9 qu’il n’\u00e9tait pas en mesure d’obtenir un \u00e9chantillon complet de FROSTBITE, la soci\u00e9t\u00e9 mettant \u00e9galement en lumi\u00e8re l’utilisation par l’acteur malveillant d’un utilitaire l\u00e9gitime appel\u00e9 DBeaver ultime<\/a> pour connecter et ex\u00e9cuter des requ\u00eates SQL sur les instances Snowflake. La derni\u00e8re \u00e9tape de l\u2019attaque implique que l\u2019adversaire ex\u00e9cute des commandes pour stocker et exfiltrer les donn\u00e9es.<\/p>\n Flocon de neige, dans un avis mis \u00e0 jour<\/a>, a d\u00e9clar\u00e9 qu’il travaillait en \u00e9troite collaboration avec ses clients pour renforcer leurs mesures de s\u00e9curit\u00e9. Il a \u00e9galement d\u00e9clar\u00e9 qu’il \u00e9laborait un plan pour les obliger \u00e0 mettre en \u0153uvre des contr\u00f4les de s\u00e9curit\u00e9 avanc\u00e9s, comme l’authentification multifacteur (MFA) ou des politiques de r\u00e9seau.<\/p>\n Ces attaques, a soulign\u00e9 Mandiant, ont connu un \u00e9norme succ\u00e8s pour trois raisons principales\u00a0: un manque d’authentification multifacteur (MFA), l’absence de rotation p\u00e9riodique des informations d’identification et l’absence de contr\u00f4les pour garantir l’acc\u00e8s uniquement \u00e0 partir d’emplacements fiables.<\/p>\n “La premi\u00e8re date d’infection par un infostealer observ\u00e9e associ\u00e9e \u00e0 un identifiant exploit\u00e9 par l’acteur malveillant remontait \u00e0 novembre 2020”, a d\u00e9clar\u00e9 Mandiant, ajoutant qu’elle “a identifi\u00e9 des centaines d’identifiants de clients Snowflake expos\u00e9s via des infostealers depuis 2020”.<\/p>\n “Cette campagne met en \u00e9vidence les cons\u00e9quences de la circulation d’un grand nombre d’informations d’identification sur le march\u00e9 des voleurs d’informations et peut \u00eatre repr\u00e9sentative d’une concentration sp\u00e9cifique des acteurs de la menace sur des plates-formes SaaS similaires.”<\/p>\n Les r\u00e9sultats servent \u00e0 souligner la demande croissante du march\u00e9 pour les voleurs d’informations et la menace omnipr\u00e9sente qu’ils repr\u00e9sentent pour les organisations, entra\u00eenant l’\u00e9mergence r\u00e9guli\u00e8re de nouvelles variantes de voleurs comme AsukaVoleur<\/a>, Coucou<\/a>, Ilurie<\/a>, k1w1<\/a>, SamsStealer<\/a>et Seidr<\/a> qui sont propos\u00e9s \u00e0 la vente \u00e0 d\u2019autres acteurs criminels.<\/p>\n “En f\u00e9vrier, Sultan, le nom derri\u00e8re le malware Vidar, a partag\u00e9 une image montrant les voleurs Lumma et Raccoon, repr\u00e9sent\u00e9s ensemble en train de lutter contre des solutions antivirus”, Cyfirma dit<\/a> dans une analyse r\u00e9cente. “Cela sugg\u00e8re une collaboration entre les acteurs de la menace, alors qu’ils unissent leurs forces et partagent leurs infrastructures pour atteindre leurs objectifs.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Snowflake-Breach-expose-les-donnees-de-165-clients-dans-le.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n