Em um mundo ideal, incidentes de segurança resultam em danos mínimos, e podemos aprender com eles para melhorar nossas defesas futuras. Felizmente, esse parece ser o caso da JumpCloud. De acordo com o post no blogda JumpCloud, seu recente incidente de segurança impactou menos de 5 clientes e menos de 10 dispositivos. Além disso, trabalhando em conjunto com seu parceiro de resposta a incidentes (IR) Crowdstrike (que também é parceiro da Salt Security), a JumpCloud mitigou o vetor de ataque utilizado pelo agente da ameaça.
Considerando que mais de 200.000 organizações utilizam a plataforma de serviços de gerenciamento de TI, o resultado potencial poderia ter sido muito pior se o ataque tivesse sido mais amplo. Centenas de milhares de empresas dependem das APIs da JumpCloud para gerenciar sua infraestrutura crítica e serviços essenciais para o negócio. Qualquer abuso de uma API da JumpCloud também tem o potencial de afetar a segurança dessas empresas.
Embora a invalidação de chaves de API, como feito pela JumpCloud, interrompa todos os sistemas que dependem dessas APIs, a alternativa é muito pior. Uma chave de API de administrador de cliente em posse de adversários poderia permitir que eles comprometessem a administração e a configuração de serviços essenciais de diretório e identidade de uma organização. Eles poderiam causar estragos em serviços de segurança importantes, como logon único (SSO), MFA, gerenciamento de senhas, gerenciamento de dispositivos e muito mais.
Como o incidente ocorreu?
Novos detalhes divulgados pela JumpCloud e outras empresas de cibersegurança revelaram que um subgrupo do grupo de ameaças Lazarus, patrocinado por um Estado-nação, foi provavelmente o responsável pelo ataque. O incidente começou com uma campanha de spear-phishing bem-sucedida por parte do agente da ameaça, que lhe garantiu acesso à infraestrutura interna da JumpCloud.
Com esse acesso, o agente da ameaça visou e impactou um pequeno grupo de clientes da JumpCloud. Embora os nomes dos clientes específicos atacados não tenham sido divulgados, sabe-se que o Lazarus tem um histórico de visar entidades ligadas a cripto ou finanças para ajudar a financiar iniciativas de Estados-nação. É possível que a campanha contra a JumpCloud tenha sido parte de uma campanha de várias etapas, usando a JumpCloud como intermediária para reduzir as defesas dos alvos finais do adversário, que são clientes da JumpCloud.
Como a JumpCloud não sabia inicialmente a extensão do ataque, ela redefiniu todas as suas chaves de API de administrador de cliente por precaução, para evitar um impacto maior e mais generalizado.
O incidente da JumpCloud destaca o fato de que as APIs se tornaram uma superfície de ataque atraente para cibercriminosos. Agentes mal-intencionados visam APIs para diversos tipos de abusos – desde exfiltração de dados até a interrupção de serviços de negócios e/ou cadeias de suprimentos digitais, além de tomada de controle de contas e infraestrutura. Embora não esteja claro qual era a intenção do agente da ameaça após infiltrar-se e visar certos clientes na infraestrutura da JumpCloud, a sequência da campanha de ataque é semelhante a outras campanhas de ataque a APIs que atingiram organizações recentemente. Nessas campanhas, o agente da ameaça conduziu um ataque de engenharia social direcionado, como spear-phishing, com o objetivo de obter acesso ao sistema interno e coletar chaves de API privilegiadas do ambiente. Uma vez obtida uma chave de API de administrador ou privilegiada, o agente da ameaça tem autoridade para exercer todas as funções disponíveis para essa API e pode causar estragos.
Aqui na Salt, publicamos recentemente um white paper que mapeia esse tipo de campanha de ataque coordenada ao MITRE ATT&CK Framework. O documento descreve as táticas usadas por um adversário durante um ataque a API baseado em credenciais roubadas.
Que medidas as organizações devem tomar para se protegerem?
O incidente da JumpCloud destaca o fato de que as organizações precisam estar cientes dos riscos relacionados aos seus provedores de serviços em nuvem. Elas devem solicitar aos seus provedores uma opção para restringir o acesso à API de suas contas a partir de uma lista de permissões limitada de locais. Ao restringir o acesso à API, as organizações podem minimizar o risco de um adversário causar danos caso um atacante obtenha acesso a uma chave de API privilegiada.
A violação da JumpCloud reforça a importância da detecção de anomalias em tempo de execução como parte de uma estratégia abrangente de API. As organizações precisam ter a capacidade de visualizar suas APIs em tempo de execução para descobrir e monitorar todas as APIs em produção. Somente a visibilidade em tempo de execução ajuda a entender comportamentos normais versus incomuns de API para identificar ameaças potenciais, como uma API sendo abusada com credenciais roubadas. Com centenas de milhares de chamadas de API sendo feitas, identificar anomalias ao longo do tempo exige inteligência artificial (IA) e aprendizado de máquina (ML). Apenas soluções impulsionadas por IA e ML podem facilmente estabelecer uma base de comportamentos típicos em milhões de APIs para descobrir até as anomalias mais sutis.
Se você quiser saber como a Plataforma de Proteção de API da Salt Security pode ajudá-lo a identificar rapidamente potenciais ameaças e vulnerabilidades de API, por favor entre em contato conosco para agendar uma conversa ou marcar uma demonstração. A Salt também estará na Black Hat USA nos dias 9 e 10 de agosto. Se você estiver no evento, adoraríamos marcar uma reunião presencial.