Uber, gerçekleştirilen siber saldırının arkasında Lapsus$ grubunun olduğunu düşünüyor

Uber tarafından Pazartesi günü yapılan açıklamada geçen hafta gerçekleştirilen siber saldırının arkasında, son bir yıldır aktif olarak saldırılarına devam eden ve öne çıkan tehdit aktörü Lapsus$ grubuyla bağlantılı kişi yada kişiler olduğuna inandıklarını belirtti.

Şirket, bu tehdit aktörünün büyük teknoloji şirketlerini hedef aldığı zamanlarda da benzer saldırı taktikleri kullandığını belirtiyor. Hatırlanacağı gibi Lapsus$ grubu bu yıl içerisinde Microsoft, Cisco, Samsung, Nvidia ve Okta gibi pek çok teknoloji devini hedef almıştı. Uber yaptığı açıklamada, soruşturma kapsamında FBI, Adalet Bakanlığı ve önde gelen birkaç adli bilişim hizmeti veren şirketle birlikte çalıştığını belirtiyor.

Şirket tarafından yapılan analizlerde, bilgisayar korsanının bazı dahili Slack mesajlarının yanı sıra şirketin finans ekibi tarafından faturaları yönetmek için kullanılan dahili bir servisten gelen bilgileri indirdiğini doğrularken, gerçekleştirilen indirmeleri hala analiz ettiklerini belirtti.

Saldırı, bir Uber EXT yüklenicisinin hesabının ele geçirilmesiyle başladı

İhlalin nasıl meydana geldiğine ilişkin verilen ayrıntılarda; saldırgan yada saldırganların bir Uber EXT yüklenicisinin hesabının ele geçirdiği, bu yükleniciye ait kişisel cihazına zararlı yazılım bulaştırıp ve bu kimlik bilgilerini ifşa ettikten sonra, illegal forum yada sitelerde bu yükleniciye ait Uber kurumsal şifresinin satın alınmış olma ihtimali üzerinde duruluyor.

Saldırgan tarafından alınan bu şifreyle, yükleniciye ait bu hesaba pek çok defa giriş yapılmaya çalışıldığı ancak her defasında iki faktörlü korumanın devreye girdiği belirtiliyor. Ancak gerçekleştirilen denemelerden sonra ilgili yüklenicinin, gelen giriş isteklerinden bir tanesini onayladığı belirtiliyor ve saldırganın bu şekilde erişim elde ettiği belirtiliyor.

Saldırgan bir sonraki aşamada diğer birkaç Uber çalışan hesabına da erişerek G Suite ve Slack dahil olmak üzere bir dizi servis için kademeli olarak daha fazla izin kazanmış. Daha sonrada şirket genelindeki bir Slack kanalına bir mesaj göndererek, Uber’in OpenDNS’ini bazı dahili sitelerdeki çalışanlara grafik bir görüntü gösterecek şekilde yeniden yapılandırmış.

Yaşanan bu saldırı sonrası aralarında Slack, Amazon Web Services ve Google Cloud Platform da dahil olmak üzere birçok dahili sistem şirket tarafından kısa bir süreliğine erişime kapatılmış ve çok büyük oranda kısıtlamaya gidilmişti.

Saldırganların eriştiği diğer bir serviste güvenlik araştırmacılarının hataları ve güvenlik açıklarını bildirdiği HackerOne’daki şirkete ait olan arayüzdü. Yapılan açıklamada saldırganın erişebildiği tüm hata raporlarının düzeltildiği belirtiliyor.

Uber ayrıca, kişisel bilgilerin ve finansal verilerin tanımlanması da dahil olmak üzere hassas müşteri verilerinin güvenli olduğunu iddia ediyor.