گروه باج‌افزاری Endzone رسماً اعلام کرده است که موفق به نفوذ به زیرساخت‌های شرکت مخابراتی AT&T شده و داده‌های این سازمان را به سرقت برده است.
جزئیات فنی مسیر نفوذ (Attack Vector)
بر اساس ادعاهای منتشر شده، نقطه ورود اولیه (Initial Access) از طریق یکی از پیمانکاران بخش تجربه مشتری (CX Contractor) بوده است. مهاجمان ابتدا از دسترسی‌های مربوط به تغییرات تجهیزات و تغییر مسیر تماس‌ها (Call Forwarding) برای پیشروی در شبکه استفاده کرده‌اند.
تکنیک‌های گسترش دسترسی و پایداری
- دسترسی به VPN و VDI: مهاجمان برای مدتی طولانی به نمونه‌های VPN و محیط‌های مجازی MyDesktop (هم داخلی و هم خارجی) دسترسی داشته‌اند، بدون اینکه توسط سیستم‌های تشخیص نفوذ یا تیم‌های Incident Response شناسایی شوند.
- سرقت گواهینامه‌ها: با استفاده از خروجی‌های
certlmدر محیط VDI و بهره‌برداری از نصب‌کننده خودکار OPUS (که سیستم‌های Endpoint را به SentinelOne متصل می‌کند)، مهاجمان توانستند دسترسی‌های VPN را گسترش دهند. - دسترسی به داده‌های Salesforce: نفوذ به داده‌های حساس Salesforce از طریق حساب کاربری یک مدیر پروژه (ATTUID) و همچنین یک پیمانکار DirecTV که دسترسی‌های غیرضروری به اپلیکیشن‌های Salesforce داشته است، صورت گرفته است.
این حادثه نشان‌دهنده ضعف در مدیریت دسترسی‌های پیمانکاران (Third-party Risk Management) و عدم نظارت کافی بر محیط‌های VDI است که منجر به نشت داده‌های یکی از بزرگترین اپراتورهای مخابراتی جهان شده است.
