Nieuwe malware probeert via Windows-containers cloudomgevingen binnen te dringen

Hoezo er is niets wat hacking team hier had aan kunnen doen? Uit je eigen link

"Once inside, the hacker says he took a slow look around, and discovered an insecure MongoDB install"
"But, according to the hacker, it was Hacking Team's backups that proved the company's undoing. Their iSCSI devices were available on the local subnet"
"that's what got him access to backups—and in those backups he found the BES and admin credentials, and those credentials were a domain admin—so as soon as he found that out, it was game over. He was domain admin on their network."

Slecht beveiligde databases, backups waar hij aangeraakt maar vooral dat het blijkbaar heel eenvoudig was, wat zeg ik, zelf mogelijk was om domain admin wachtwoorden uit de backups te halen. Dat zijn major red flags dat de security op veel vlakken fout zat.

Bovendien geeft de hacker zelf aan dat zijn attack surface beperkt was en dus dat hij voor een "unnamed embeded device" ging

" attack surface—only an up-to-date version of Joomla, "a mail server, a couple routers, two VPN appliances, and a spam filtering appliance. So, the hacker explains, three options presented themselves: "look for a zero-day in Joomla, look for a zero-day in postfix, or look for a zero-day in one of the embedded devices.

A zero-day in an embedded device seemed like the easiest option"

De hacker heeft niet laten weten wat voor unnamed embeded device dit ging maar dit zal wel iets in de trend van een koffiemachine of iets dergelijks zijn. Dergelijke embeded devices zijn untrusted en horen niet op je gewoon netwerk te zitten, dat gooi je op een untrusted volledig afgescheiden netwerk dat enkel naar buiten kan. Dat zijn security eisen waaraan een doorsnee kmo wel aan mag voldoen dus we zitten bijlange nog niet op het niveau van een high risk scenario zoals een bank.

Daarnaast is het idee dat je veilig bent als je niet aan het internet hangt compleet achterhaald, 1 usb stick is voldoende om je afgesloten netwerk onderuit te halen. En als je maar belangerijk genoeg bent dan geraken ze toch binnen op je niet internet aangesloten netwerk, lees anders nog eens hoe Stuxnet een hermetisch afgesloten installatie kon binnen dringen.

Als je denkt dat niets aan internet koppelen een oplossing is, dan weet je simpelweg niet waarover je spreekt.

[Reactie gewijzigd door sprankel op 9 juni 2021 22:26]