گروه باج‌افزار (Ransomware) موسوم به Incransom از نفوذ گسترده به زیرساخت‌های موزه تاریخ شیکاگو خبر داده است. این حمله منجر به سرقت حجم عظیمی از داده‌های حساس از سرورهای داخلی و محیط ابری AWS شده و مهاجمان اکنون کنترل کامل محیط عملیاتی (Production) این سازمان را در اختیار دارند.
نفوذ به سرورهای داخلی و سرقت اطلاعات حساس
بر اساس تحلیل داده‌های منتشر شده، مهاجمان توانسته‌اند به سرور فایل داخلی سازمان دسترسی پیدا کنند و اطلاعات زیر را استخراج نمایند:
- اعتبارنامه‌های IT: کلیدهای Root در AWS، رمزهای عبور سرورها، کلیدهای رمزنگاری BitLocker و بیش از ۲۰ مورد دسترسی به پورتال‌های تامین‌کنندگان که به صورت متن ساده (Plaintext) ذخیره شده بودند.
- بخش مالی و حسابداری: سوابق پرداخت‌های ADP مربوط به ۱۵ سال اخیر (۲۰۰۶ تا ۲۰۲۱)، اسناد تطبیق بانکی و مجوزهای ACH.
- منابع انسانی (HR): بررسی‌های پیش‌زمینه کارکنان شامل شماره‌های تامین اجتماعی (SSN) و اسناد مهاجرتی I-9.
- بخش توسعه و جذب سرمایه: آدرس‌های منزل اعضای هیئت مدیره و سوابق اهداکنندگان بزرگ (بیش از ۴.۴ میلیون دلار).
تسلط بر محیط ابری AWS
عامل تهدید (Threat Actor) با استفاده از کلیدهای دسترسی Root که در سرور فایل پیدا شده بود، به کل محیط ابری سازمان نفوذ کرده است. جزئیات این دسترسی شامل موارد زیر است:
- دیتابیس Aurora MySQL: دسترسی کامل به دیتابیس وب‌سایت که منجر به استخراج اطلاعات ۲۷,۴۲۲ فرم ارسالی توسط بازدیدکنندگان، داوطلبان و مشتریان شده است.
- زیرساخت EC2: کنترل کامل بر ۱۴ سرور EC2 در محیط‌های Production و Staging.
- پشتیبان‌های S3: دسترسی به ۲۰ گیگابایت بک‌آپ وب‌سایت که تنها نسخه پشتیبان ابری سازمان بوده است.
- مدیریت WordPress: استخراج هش‌های رمز عبور ۳۰ حساب مدیر (Admin) وب‌سایت.
تحلیل خطاهای امنیتی بحرانی
این حادثه نشان‌دهنده چندین شکست امنیتی بنیادین در لایه‌های مختلف زیرساخت است:
- عدم استفاده از MFA: حساب Root در AWS فاقد احراز هویت چندعاملی (MFA) بوده که منجر به دسترسی سریع مهاجمان شد.
- ذخیره‌سازی ناامن اعتبارنامه‌ها: نگهداری رمزهای عبور و کلیدهای دسترسی به صورت Plaintext در سرور فایل، مسیر نفوذ به محیط ابری را هموار کرد.
- پیکربندی نادرست شبکه: پورت ۳۳۰۶ مربوط به MySQL به صورت عمومی (Publicly Accessible) و بدون هیچ‌گونه محدودیت IP باز بوده است.
- فقدان استراتژی بک‌آپ: عدم وجود Snapshot برای نمونه RDS باعث شده است که در صورت حذف داده‌ها توسط مهاجمان، بازیابی آن‌ها غیرممکن باشد.
در حال حاضر، گروه Incransom تهدید کرده است که در صورت عدم مذاکره، تمامی داده‌ها را منتشر کرده و زیرساخت‌های ابری و وب‌سایت سازمان را به طور کامل تخریب خواهد کرد.
