Cloudflare divulgue le code et les documents consultés par les pirates informatiques lors de la violation d'Okta en 2023
Cloudflare a révélé avoir été victime d'une attaque probable d'un État-nation, dans laquelle l'acteur malveillant a utilisé des informations d'identification volées pour accéder sans autorisation à son serveur Atlassian, obtenant ainsi l'accès à une certaine documentation et à une quantité limitée de code source.
La violation s'est produite du 14 au 24 novembre 2023 et a été détectée le 23 novembre. Cloudflare a qualifié l'acteur de « sophistiqué », opérant avec une approche délibérée et méthodique pour obtenir un accès persistant et généralisé au réseau mondial de l'entreprise.
Par mesure de précaution, Cloudflare a effectué une rotation de plus de 5 000 informations d'identification de production, segmenté physiquement les systèmes de test et de préparation, effectué des tris médico-légaux sur 4 893 systèmes, et réimaginé et redémarré chaque machine de son réseau mondial.
Lors de l'incident, une période de reconnaissance de quatre jours a permis à l'acteur menaçant d'accéder aux portails Atlassian Confluence et Jira. Par la suite, un compte utilisateur Atlassian malveillant a été créé, établissant un accès persistant au serveur Atlassian et permettant finalement d'accéder au système de gestion de code source Bitbucket à l'aide du cadre de simulation d'adversaire Sliver.
Référentiels de code accessibles par les attaquants
Environ 120 référentiels de codes ont été consultés, dont 76 auraient été exfiltrés par l'attaquant. Ces référentiels concernaient principalement les processus de sauvegarde, la configuration et la gestion du réseau mondial, les pratiques d'identité chez Cloudflare, l'accès à distance et l'utilisation par l'entreprise de Terraform et Kubernetes.
Cloudflare a déclaré que quelques référentiels contenaient des secrets cryptés, qui étaient rapidement alternés malgré leur cryptage fort.
L'auteur de la menace a tenté en vain d'accéder à un serveur de console lié à un centre de données à São Paulo, au Brésil, qui n'est pas encore en production.
L'attaque a exploité un jeton d'accès et trois informations d'identification de compte de service associées à Amazon Web Services (AWS), Atlassian Bitbucket, Moveworks et Smartsheet. Ces identifiants ont été volés en octobre 2023 lors du piratage du système de gestion des dossiers d'assistance d'Okta. Cloudflare a reconnu l'échec de la rotation de ces informations d'identification, supposant à tort qu'elles n'étaient pas utilisées.
La société a mis fin à toutes les connexions malveillantes de l'acteur menaçant le 24 novembre 2023 et a engagé la société de cybersécurité CrowdStrike pour une évaluation indépendante de l'incident.
