En un mundo ideal, los incidentes de seguridad causan daños mínimos y podemos aprender de ellos para mejorar nuestras defensas futuras. Afortunadamente, este parece ser el caso de JumpCloud. Según la publicación en el blogde JumpCloud, su reciente incidente de seguridad afectó a menos de 5 clientes y a menos de 10 dispositivos. Además, en colaboración con su socio de respuesta a incidentes (IR) Crowdstrike (que también es socio de Salt Security), JumpCloud ha mitigado el vector de ataque utilizado por el actor de amenazas.
Dado que más de 200.000 organizaciones utilizan la plataforma de servicios de gestión de TI, el resultado potencial podría haber sido mucho peor si el ataque hubiera sido más amplio. Cientos de miles de empresas dependen de las API de JumpCloud para gestionar su infraestructura crítica y sus servicios empresariales clave. Cualquier abuso de una API de JumpCloud también tiene el potencial de afectar a su propia seguridad.
Aunque la invalidación de las claves de API, tal como hizo JumpCloud, interrumpe todos los sistemas que dependen de ellas, la alternativa es mucho peor. Una clave de API de administrador de cliente en manos de adversarios podría permitirles comprometer la administración y configuración de servicios clave de directorio e identidad de una organización. Podrían causar estragos en servicios de seguridad importantes como el inicio de sesión único (SSO), la autenticación multifactor (MFA), la gestión de contraseñas, la gestión de dispositivos y más.
¿Cómo ocurrió el incidente?
Nuevos detalles publicados por JumpCloud y otras empresas de ciberseguridad revelaron que un subgrupo del actor de amenazas estatal Lazarus fue probablemente el responsable del ataque. El incidente comenzó con una exitosa campaña de spear-phishing por parte del actor de amenazas, lo que le permitió obtener acceso a la infraestructura interna de JumpCloud.
Con ese acceso, el actor de amenazas atacó y afectó a un pequeño grupo de clientes de JumpCloud. Aunque no se han revelado los nombres de los clientes específicos atacados, se sabe que Lazarus tiene un historial de ataques a entidades relacionadas con las criptomonedas o las finanzas para ayudar a financiar iniciativas estatales. Es posible que la campaña contra JumpCloud formara parte de una campaña de varias oleadas, utilizando a JumpCloud como intermediario para reducir las defensas de los objetivos finales del adversario, que son clientes de JumpCloud.
Debido a que JumpCloud no conocía inicialmente el alcance del ataque, restableció todas sus claves de API de administrador de cliente por precaución para evitar un impacto mayor y más generalizado.
El incidente de JumpCloud pone de relieve que las API se han convertido en una superficie de ataque atractiva para los ciberdelincuentes. Los actores malintencionados atacan las API para cometer todo tipo de abusos: desde la exfiltración de datos hasta la interrupción de servicios empresariales y/o cadenas de suministro digitales, pasando por la toma de control de cuentas e infraestructuras. Aunque no está claro cuál era la intención del actor de amenazas una vez que se infiltró y atacó a ciertos clientes en la infraestructura de JumpCloud, la secuencia de la campaña de ataque es similar a otras campañas de ataque a API que han afectado a organizaciones recientemente. En esas campañas, el actor de amenazas llevó a cabo un ataque de ingeniería social dirigido, como el spear-phishing, con el objetivo de obtener acceso al sistema interno y recopilar claves de API privilegiadas del entorno. Una vez que se obtiene una clave de API de administrador o privilegiada, el actor de amenazas tiene la autoridad para ejercer todas las funciones disponibles para esa API y podría causar estragos.
En Salt, recientemente publicamos un documento técnico que mapea este tipo de campaña de ataque coordinada con el marco MITRE ATT&CK. El documento describe las tácticas utilizadas por un adversario durante un ataque a una API basado en credenciales robadas.
¿Qué medidas deberían tomar las organizaciones para protegerse?
El incidente de JumpCloud pone de relieve que las organizaciones deben ser conscientes de los riesgos que conlleva el uso de proveedores de servicios en la nube. Deben solicitar a sus proveedores una opción para restringir el acceso a la API de su cuenta desde una lista blanca limitada de ubicaciones. Al restringir el acceso a la API, las organizaciones pueden minimizar el riesgo de que un adversario cause daños en caso de que un atacante acceda a una clave de API privilegiada.
La brecha de seguridad de JumpCloud refuerza la importancia de la detección de anomalías en tiempo de ejecución como parte de una estrategia integral de API. Las organizaciones deben tener la capacidad de visualizar sus API en tiempo de ejecución para descubrir y supervisar todas las API en producción. Solo la visibilidad en tiempo de ejecución permite distinguir entre comportamientos normales y fuera de lo común para detectar posibles amenazas, como el uso indebido de una API mediante credenciales robadas. Con cientos de miles de llamadas a API, identificar anomalías a lo largo del tiempo requiere inteligencia artificial (IA) y aprendizaje automático (ML). Solo las soluciones basadas en IA y ML pueden establecer fácilmente una línea base de comportamientos típicos en millones de API para descubrir incluso las anomalías más sutiles.
Si desea conocer cómo la Plataforma de Protección de API de Salt Security puede ayudarle a identificar rápidamente posibles amenazas y vulnerabilidades en sus API, contáctenos para programar una llamada o agendar una demostración. Salt también estará presente en Black Hat USA del 9 al 10 de agosto. Si asistirá al evento, nos encantaría coordinar una reunión en persona.