Un peu plus d’une semaine apr\u00e8s que JumpCloud ait r\u00e9initialis\u00e9 les cl\u00e9s API des clients touch\u00e9s par un incident de s\u00e9curit\u00e9, la soci\u00e9t\u00e9 a d\u00e9clar\u00e9 que l’intrusion \u00e9tait l’\u0153uvre d’un acteur sophistiqu\u00e9 de l’\u00c9tat-nation.<\/p>\n
L’adversaire “a obtenu un acc\u00e8s non autoris\u00e9 \u00e0 nos syst\u00e8mes pour cibler un petit groupe sp\u00e9cifique de nos clients”, Bob Phan, responsable de la s\u00e9curit\u00e9 de l’information (CISO) chez JumpCloud, a dit<\/a> dans un rapport d’autopsie. “Le vecteur d’attaque utilis\u00e9 par l’acteur de la menace a \u00e9t\u00e9 att\u00e9nu\u00e9.”<\/p>\n La soci\u00e9t\u00e9 am\u00e9ricaine de logiciels d’entreprise a d\u00e9clar\u00e9 avoir identifi\u00e9 une activit\u00e9 anormale le 27 juin 2023 sur un syst\u00e8me d’orchestration interne, qu’elle a retrac\u00e9e \u00e0 une campagne de harponnage lanc\u00e9e par l’attaquant le 22 juin.<\/p>\n Alors que JumpCloud a d\u00e9clar\u00e9 avoir pris des mesures de s\u00e9curit\u00e9 pour prot\u00e9ger son r\u00e9seau en faisant pivoter les informations d’identification et en reconstruisant ses syst\u00e8mes, ce n’est que le 5 juillet qu’il a d\u00e9tect\u00e9 une “activit\u00e9 inhabituelle” dans le cadre des commandes pour un petit ensemble de clients, provoquant une rotation forc\u00e9e de toutes les cl\u00e9s API d’administration. Le nombre de clients concern\u00e9s n’a pas \u00e9t\u00e9 divulgu\u00e9.<\/p>\n Une analyse plus approfondie de la violation, selon la divulgation de l’entreprise, a mis au jour le vecteur d’attaque, qu’elle a d\u00e9crit comme une “injection de donn\u00e9es dans le cadre des commandes”. Il a \u00e9galement d\u00e9clar\u00e9 que les attaques \u00e9taient tr\u00e8s cibl\u00e9es.<\/p>\n JumpCloud, cependant, n’a pas expliqu\u00e9 comment l’attaque de phishing qu’il a rep\u00e9r\u00e9e en juin est li\u00e9e \u00e0 l’injection de donn\u00e9es. Il n’est actuellement pas clair si les e-mails de phishing ont conduit au d\u00e9ploiement de logiciels malveillants qui ont facilit\u00e9 l’attaque.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Indicateurs suppl\u00e9mentaires de compromission (IoC) associ\u00e9s \u00e0 l’attaque montre<\/a> que l’adversaire a exploit\u00e9 des domaines nomm\u00e9s nomadpkg[.]com et nomadpkgs[.]com, une r\u00e9f\u00e9rence probable au Orchestrateur de charge de travail bas\u00e9 sur Go<\/a> utilis\u00e9 pour d\u00e9ployer et g\u00e9rer des conteneurs.<\/p>\n “Ce sont des adversaires sophistiqu\u00e9s et persistants avec des capacit\u00e9s avanc\u00e9es”, a d\u00e9clar\u00e9 Phan. JumpCloud n’a pas encore r\u00e9v\u00e9l\u00e9 le nom et les origines du groupe pr\u00e9sum\u00e9 responsable de l’incident.<\/p>\n <\/p>\n