Poco più di una settimana dopo che JumpCloud ha reimpostato le chiavi API dei clienti interessati da un incidente di sicurezza, l’azienda ha dichiarato che l’intrusione è opera di qualche militante che lavora per qualche paese straniero non ben dentificato.
Prima di tutto, cos’è JumpCloud
JumpCloud è una società statunitense che fornisce un’infrastruttura di gestione degli accessi e delle identità basata su cloud per le aziende. La loro piattaforma offre servizi di autenticazione e autorizzazione centralizzati, consentendo alle aziende di gestire in modo sicuro l’accesso degli utenti a una vasta gamma di risorse, come dispositivi, applicazioni, server e reti.
JumpCloud consente alle aziende di semplificare la gestione delle identità e delle password degli utenti attraverso una singola console di amministrazione basata su cloud. Gli amministratori possono assegnare e revocare facilmente le autorizzazioni degli utenti, controllare l’accesso ai vari servizi e monitorare l’attività degli utenti all’interno dell’organizzazione.
Inoltre, JumpCloud offre funzionalità avanzate di sicurezza, come l’autenticazione a più fattori, la gestione dei certificati digitali e la protezione delle risorse mediante criteri di accesso granulari. La piattaforma è progettata per essere compatibile con una vasta gamma di sistemi operativi, applicazioni e servizi, consentendo alle aziende di integrare facilmente JumpCloud nella propria infrastruttura esistente.
È un sito simile a LastPass, che avevamo visto in un precedente articolo, per farla breve.
Cos’è sucesso su JumpCloud, dunque
L’hacker “ha ottenuto accesso non autorizzato ai nostri sistemi per mirare a un insieme ristretto e specifico dei nostri clienti“, ha dichiarato Bob Phan, responsabile della sicurezza delle informazioni (CISO) di JumpCloud, in un rapporto post-mortem. “Il vettore di attacco utilizzato dal malintenzionato è stato fermato“.
L’azienda statunitense di software enterprise ha dichiarato di aver identificato attività anomale il 27 giugno 2023 su un sistema di orchestrazione interno, che ha risalito a una campagna di spear-phishing montata dall’attaccante il 22 giugno.
Mentre JumpCloud ha preso misure di sicurezza per proteggere la propria rete mediante la rotazione delle credenziali e la ricostruzione dei propri sistemi, è stato solo il 5 luglio che ha rilevato “attività insolite” nel framework dei comandi per un piccolo gruppo di clienti, che ha portato a una rotazione forzata di tutte le chiavi API degli amministratori. Il numero di clienti interessati non è stato divulgato.
Ulteriori analisi della violazione, secondo la divulgazione dell’azienda, hanno scoperto il vettore di attacco, che è stato descritto come “un’injection di dati nel framework dei comandi”. Si è anche affermato che gli attacchi erano altamente mirati.
Tuttavia, JumpCloud non ha spiegato come l’attacco di phishing riscontrato a giugno sia collegato all’iniezione di dati. Al momento non è chiaro se le e-mail di phishing abbiano portato all’installazione di malware che ha facilitato l’attacco.
Ulteriori indicatori di compromissione (IoC) associati all’attacco mostrano che l’avversario ha sfruttato i domini denominati nomadpkg[.]com e nomadpkgs[.]com, probabilmente facendo riferimento all’basato ad alcune “opere” basate sul linguaggio di programmazione Go (o Golang di Google) utilizzato per distribuire e gestire i repository.
“Questi sono avversari [che usano metodi] sofisticati e persistenti con capacità avanzate“, ha affermato Phan. JumpCloud deve ancora rivelare il nome e l’origine del gruppo presumibilmente responsabile dell’incidente.
In conclusione
È molto curioso come anche le società predisposte alla protezione dei dati possano ritrovarse esse stesse colpite da qualche malintenzionato.
Questa piattaforma non è popolare nel nostro paese, in caso, se la usi, scontato dire che è sempre meglio cambiare la password di accesso sulle credenziali
