TL;DR
- चेनस्टैक ने एक ब्रीच का खुलासा किया, जिसमें ग्राहक जानकारी और संभावित रूप से नोड क्रेडेंशियल्स प्रकट हो गए, जबकि उन्होंने कहा कि ग्राहक नोड, उनका कंसोल और API को संशोधित नहीं किया गया था।
- आक्रमणकारी एक एक्सपोज़ किए गए Grafana इंस्टेंस के माध्यम से प्रवेश किया, क्लस्टर-एडमिन अधिकारों के साथ एक अनप्रमाणित MCP सर्वर तक पहुँचा और ARTEX का उपयोग किया, जो LLM एजेंट्स को संचालित करने वाला एक फ्रेमवर्क है।
- चेनस्टैक ने कोई सबूत नहीं पाया कि नोड क्रेडेंशियल्स पढ़े गए हैं, लेकिन ग्राहकों को उन्हें बदलने, पासवर्ड बदलने, API कुंजियाँ पुनः उत्पन्न करने और फिशिंग प्रयासों की निगरानी करने के लिए कहा।
Chainstack ने एक सुरक्षा लंघन का खुलासा किया है, जिसमें ग्राहक खाता डेटा और संभावित रूप से नोड पारित्रों को प्रकट किया गया है, और इस अनुमति को एक व्यापक AI-सक्षम हमला अभियान से जोड़ा गया है। अपने आधिकारिक घटना रिपोर्ट में, Web3 इंफ्रास्ट्रक्चर प्रदाता ने कहा कि एक बाहरी हमलावर एक तीसरे पक्ष के घटक के माध्यम से प्रवेश करके पहले एक विकास पर्यावरण को कम्प्रोमाइज करने के बाद उत्पादन प्रणालियों तक पहुँच गया। इस घटना में ग्राहक जानकारी प्रकट हुई, जबकि ग्राहक-सामने वाले नोड, कंसोल और API को अपरिवर्तित छोड़ दिया गया, जिससे Web3 इंफ्रास्ट्रक्चर संचालकों के लिए एक और सुरक्षा चेतावनी जुड़ी। Chainstack ने कहा कि पूर्ण कार्ड संख्याएँ और सुरक्षा कोड जैसी भुगतान पद्धति की विवरण संग्रहीत नहीं किए गए थे, और इसलिए उन्हें प्रकट नहीं किया गया।
AI टूलिंग ने बुनियादी ढांचे की कमजोरियों को उत्पादन तक पहुंच में बदल दिया
आक्रमणकारी ने सबसे पहले एक विकास Kubernetes क्लस्टर में इंटरनेट के साथ उजागर Grafana इंस्टेंस तक पहुँच प्राप्त की, जहाँ डिफ़ॉल्ट प्रशासक पासवर्ड बदले नहीं गए थे और अतिरिक्त प्रमाणीकरण उपलब्ध नहीं था। Grafana का डेटा-सोर्स प्रॉक्सी फिर आंतरिक सेवाओं, जिसमें क्लस्टर-एडमिन अधिकारों के साथ चल रहा एक अप्रमाणित MCP सर्वर शामिल था, तक पहुँच प्रदान करता है। Chainstack ने कहा कि उन्होंने कोई दुरुपयोग किया गया सॉफ़्टवेयर वल्नरेबिलिटी नहीं पाया। इन्ट्रूजन के स्थान पर डिफ़ॉल्ट पासवर्ड, अनुपस्थित प्रमाणीकरण, अतिरिक्त अधिकार और लंबे समय तक चलने वाले पासवर्ड को जोड़कर दिखाया गया कि AI-संबंधित सुरक्षा खतरे कैसे बुनियादी ढांचे में पहले से मौजूद कमजोरियों को बढ़ा सकते हैं। प्रारंभिक पहुँच 26 अक्टूबर को हुई, जिसके बाद 29 अक्टूबर को उत्पादन पहुँच हुई।
Chainstack ने उच्च आत्मविश्वास के साथ आक्रमणकारी द्वारा ARTEX का उपयोग किए जाने का आकलन किया, जो एक ओपन-सोर्स फ्रेमवर्क है जो LLM एजेंट्स को स्वचालित आक्रमणों के लिए संचालित करता है। जांचकर्ताओं ने उपकरणों, नामित मार्कर्स और तकनीकों के मिलान के माध्यम से इस दुर्घटना को AI-सक्षम अभियान से जोड़ा, जबकि यह बल्कि आक्रमणकारी की पहचान नहीं करता है। आक्रमणकारी ने अंततः उत्पादन सीक्रेट्स पढ़े, एक संक्रमित VPN कुंजी का उपयोग किया और उत्पादन डेटाबेस क्वेरी की। ग्राहक संगठनों के नाम, खाता धारकों के नाम, सदस्य ईमेल पते और पासवर्ड हैशेस प्रकट हो सकते हैं, जिससे क्रिप्टो कंपनियों में प्राधिकरण प्रकट होने के संबंध में हालिया चिंताएं बढ़ गई हैं। Chainstack ने 31 अक्टूबर को आक्रमण का पता लगाया और पहुंच के मार्गों को काट दिया।
नोड क्रेडेंशियल्स वाले सिस्टम्स भी एक्सेसिबल थे। चेनस्टैक ने कहा कि उनके पास इन क्रेडेंशियल्स को वास्तव में पढ़े जाने का कोई सबूत नहीं है, लेकिन वे उन्हें एक्सपोज्ड मान रहे हैं और ग्राहकों से उन्हें रोटेट करने का अनुरोध कर रहे हैं। ग्राहकों को पासवर्ड बदलने, जहाँ लागू हो, प्लेटफॉर्म API कुंजियाँ पुनः जनरेट करने और फिशिंग प्रयासों के लिए सतर्क रहने का निर्देश दिया गया। चेनस्टैक ने 31 अक्टूबर को हमलावर की एक्सेस को काट दिया और 2 नवंबर को प्रतिलिपि की गई क्रेडेंशियल का अंतिम उपयोग देखा, जबकि एक्सपोज्ड क्रेडेंशियल्स को रोटेट किया गया, लॉगिन सत्रों को अमान्य कर दिया गया और प्रिविलेजेज को सख्त किया गया। प्रतिक्रिया क्रिप्टो इंफ्रास्ट्रक्चर सुरक्षा उपाय के साथ समानता रखती है, जो ब्रीच के बाद क्रेडेंशियल रोटेशन, प्रमाणीकरण और एक्सेस सीमित करने पर केंद्रित है।