TL;DR
- Chainstack, müşteri bilgilerini ve muhtemelen node kimlik bilgilerini ortaya çıkaran bir ihlal olduğunu açıkladı, ancak müşteri node'larının, konsolunun ve API'sinin değiştirilmediğini belirtti.
- Saldırgan, maruz kalan bir Grafana örneğinden girdi, küme-yönetici haklarına sahip kimliği doğrulanmamış bir MCP sunucusuna ulaştı ve ARTEX adlı bir LLM ajanlarını orchestrating eden bir çerçeve kullandı.
- Chainstack, node kimlik bilgilerinin okunduğuna dair hiçbir kanıt bulamadı, ancak müşterilere kimlik bilgilerini değiştirmelerini, şifreleri değiştirmelerini, API anahtarlarını yeniden oluşturmalarını ve phishing girişimlerini izlemelerini söyledi.
Chainstack, müşteri hesap verilerini ve olası node kimlik bilgilerini ortaya çıkaran bir güvenlik ihlalini açıkladı ve bu girişimi daha geniş bir yapay zeka destekli saldırı kampanyasına bağladı. resmi olay raporunda, Web3 altyapı sağlayıcısı, bir dış saldırganın üçüncü taraf bir bileşen aracılığıyla girdiğini ve önce bir geliştirme ortamını ele geçirdikten sonra üretim sistemlerine ulaştığını belirtti. Olay, müşteri bilgilerini ortaya çıkardı ancak müşteriye yönelik node'ları, konsolu ve API'yi değiştirmedi, bu da Web3 altyapı operatörleri için başka bir güvenlik uyarısı ekledi. Chainstack, tam kart numaraları ve güvenlik kodları gibi ödeme yöntemi detaylarının saklanmadığını ve dolayısıyla ortaya çıkmadığını söyledi.
AI Araçları, Altyapı Zayıflıklarını Üretim Erişimine Dönüştürdü
Saldırgan, önce varsayılan yönetici kimlik bilgilerinin değiştirilmemiş ve ek kimlik doğrulama bulunmayan bir geliştirme Kubernetes kümesindeki internete açılmış bir Grafana örneğine erişti. Grafana’nın veri kaynağı proxy’si, küme-yöneticisi yetkileriyle çalışan kimlik doğrulamasız bir MCP sunucusu dahil olmak üzere iç hizmetlere bir yol sağladı. Chainstack, istismar edilen bir yazılım zafiyeti bulunmadığını belirtti. Saldırı, varsayılan kimlik bilgilerini, eksik kimlik doğrulamayı, aşırı izinleri ve uzun ömürlü kimlik bilgilerini zincirleme şekilde kullandı ve AI ile ilişkili güvenlik tehditlerinin altyapıda zaten var olan zayıflıkları nasıl kuvvetlendirebileceğini gösterdi. İlk erişim 26 Ekim’de, üretim erişimi ise 29 Ekim’de gerçekleşti.
Chainstack, saldırganın girdileri otomatikleştirmek için ARTEX adlı açık kaynaklı bir çerçeveyi kullandığına yüksek güvenle karar verdi. Araştırmacılar, aracılık araçlarını, isimlendirme işaretlerini ve teknikleri eşleştirerek bu ihlalin daha geniş bir yapay zeka destekli kampanyayla bağlantılı olduğunu belirledi, ancak bu durumun saldırganı tanımlamadığını vurguladı. Saldırgan nihayetinde üretim gizliliklerini okudu, compromised bir VPN anahtarını kullandı ve üretim veritabanlarını sorguladı. Müşteri kuruluş adları, hesap sahibi adları, üye e-posta adresleri ve şifre karma değerleri maruz kalabilir; bu da kripto şirketleri boyunca kimlik bilgisi açığa çıkması konusundaki son endişeleri genişletiyor. Chainstack, saldırıyı 31 Ekim'de tespit etti ve erişim yollarını kesmişti.
Düğüm kimlik bilgilerine sahip sistemler de erişilebilir durumdaydı. Chainstack, bu kimlik bilgilerinin gerçekten okunup okunmadığına dair hiçbir kanıt olmadığını söyledi, ancak bunların maruz kaldığı varsayımıyla müşterilerden bunları değiştirmelerini istedi. Müşterilere ayrıca şifreleri değiştirmeleri, uygun durumlarda platform API anahtarlarını yeniden oluşturması ve phishing girişimlerine karşı dikkatli kalması talimatı verildi. Chainstack, saldırganın erişimini 31 Ekim'de kesmiş ve maruz kalan kimlik bilgilerini değiştirirken, kopyalanmış bir kimlik bilgisinin son kullanımını 2 Kasım'da gözlemlemiştir; oturumları geçersiz kılmış ve yetkileri sıkılaştırmıştır. Bu yanıt, ihlallerden sonra kimlik bilgisi değişimi, kimlik doğrulama ve erişimi sınırlama odaklı daha geniş crypto altyapısı güvenlik önlemlerini yansıtmaktadır.