Un cybercriminel prétend avoir siphonné des millions de dossiers d’employés des environnements Microsoft Azure de grandes entreprises, notamment McDonald’s, Vodafone, Kyndryl et Tata Consultancy Services.
Le trafic présumé concerne neuf organisations et est mis en vente par un acteur menaçant utilisant le nom de « TheHatman », selon une étude publiée par Hudson Rock.
McDonald’s représente le plus grand ensemble de données présumées sur la liste de courses de TheHatman, avec 1,7 million d’enregistrements prétendument à gagner. 800 000 autres enregistrements proviendraient soi-disant de Tata Consultancy Services, 425 000 de Vodafone et 250 000 de HCL Technologies, IHG Hotels & Resorts, Kyndryl, Gap, Hexaware Technologies et Wyndham Hotels & Resorts complétant le tout.
AD ENREGISTREMENT
Hudson Rock a évalué les données comme étant « très probablement authentiques », citant des adresses e-mail d’entreprise et des structures cohérentes avec les exportations des services d’annuaire Microsoft Azure.
AD ENREGISTREMENT
Les dossiers contiendraient bien plus que des noms et des adresses e-mail professionnelles. Les échantillons examinés par l’atelier de sécurité incluraient des numéros de téléphone, des adresses physiques, des identifiants d’employés, des titres de poste, des départements, des emplacements de bureaux, des structures hiérarchiques, des adhésions à des groupes et des détails sur les comptes de service.
Certains enregistrements identifieraient également les comptes dotés de privilèges d’administrateur global, offrant potentiellement aux attaquants une carte utile des cibles suivantes. Même si les mots de passe ne sont pas inclus, savoir qui détient les clés du royaume constitue une liste restreinte de phishing pratique.
La manière dont TheHatman aurait obtenu ces informations reste floue. L’attaquant prétend avoir utilisé des informations d’identification compromises, mais Hudson Rock n’a pas pu établir de manière indépendante le vecteur d’accès initial. Il a évoqué plusieurs possibilités, notamment les informations d’identification ou les cookies de session volés par des logiciels malveillants infostealer, le phishing, une authentification multifacteur faible ou absente et des applications tierces trop permissives.
Hudson Rock a déclaré que sa base de données infostealer contenait des informations d’identification cloud Microsoft compromises associées à la plupart des sociétés nommées, bien qu’elle ne puisse pas relier ces informations d’identification à l’accès présumé de TheHatman.
« À en juger par la taille massive des organisations touchées, il semble très probable que cette campagne provienne d’une exploitation ciblée des infections Infostealer plutôt que d’une vulnérabilité systémique Zero Day dans Azure », a déclaré Hudson Rock. « S’il s’agissait d’une vulnérabilité généralisée, nous verrions probablement un éventail beaucoup plus large d’organisations touchées, y compris les petites entreprises, plutôt que seulement ces grandes entreprises classées au niveau Fortune 500. »
Le registre a contacté toutes les organisations nommées par Hudson Rock pour leur demander si elles avaient été violées, si les données annoncées sont authentiques et comment tout accès non autorisé s’est produit. Nous avons également demandé à Microsoft s’il était au courant d’une campagne plus large ciblant les clients Azure ou Entra.
Services Tata envoyés Le registre la déclaration qu’elle a faite à la bourse indienne (PDF) disant que « la société a reçu des alertes de renseignements sur les menaces alléguant une possible exposition de certaines informations sur les employés. »
Il ajoute : La société a enquêté sur l’affaire et n’a trouvé aucune preuve crédible d’une violation des systèmes TCS ou des environnements clients. Les informations référencées semblent dater de plus de quatre ans et se limitent aux informations de base sur les employés. Rien n’indique que les données client, les systèmes clients ou les systèmes opérationnels du TCS aient été affectés.
« L’attaquant prétend avoir utilisé la pulvérisation de mots de passe et la fatigue de l’authentification multifacteur (MFA) comme vecteur d’attaque. La société a mis en place de solides garanties contre de telles techniques depuis plus de deux ans. Sur la base de l’examen actuel, ces contrôles restent efficaces et la société continue de surveiller de près l’environnement. »
Il a déclaré : « La Société continuera d’évaluer toute nouvelle information qui deviendra disponible et prendra les mesures appropriées, si nécessaire. La Société reste engagée à maintenir la sécurité et la résilience de ses systèmes et à protéger les informations qui nous sont confiées. »
AD ENREGISTREMENT
TheHatman prétend détenir les données. Personne n’a encore expliqué comment il aurait pu sortir de neuf annuaires d’entreprise. ®
