The Pulse
Kernel ritiene che gli autori dell’attacco stiano utilizzando ARTEX in una più ampia campagna di cryptomining
Kernel afferma che un soggetto non autorizzato ha effettuato l’accesso al suo fornitore di servizi di logging e ha scaricato dati che contenevano un piccolo numero di chiavi API kernel e credenziali segrete di terze parti relative alle appl
AI.info Team · Scritto con l’IA · verificato ·
Nell’avviso del 4 novembre, Kernel afferma di aver rilevato un incidente di sicurezza dei dati il 2 novembre. La ricostruzione dell’azienda fa risalire la prima attività al 24 ottobre, quando un soggetto non autorizzato ha utilizzato una chiave API KERNEL compromessa per sondare le possibilità di accesso. Tre giorni dopo, secondo Kernel, lo stesso soggetto ha utilizzato la chiave compromessa per accedere a un account del personale presso il suo fornitore di servizi di logging e scaricare dati. Questi contenevano un piccolo numero di chiavi API kernel e credenziali segrete di terze parti relative alle applicazioni distribuite.
Kernel afferma che il 3 novembre l’autore dell’attacco ha utilizzato una credenziale compromessa dell’account presso il suo fornitore di hosting per accedere a quattro server dotati di GPU. Su tre server erano in esecuzione sessioni del browser KERNEL; il quarto non conteneva dati dei clienti. La cronologia di Kernel registra che alle 05:41 UTC è stato effettuato l’accesso a un server di sviluppo privo di dati e che vi è stato avviato un programma di cryptomining. L’azienda afferma che in seguito si è tentato di avviare lo stesso programma su server-3 e server-4.
La cronologia di Kernel indica che alle 19:28 UTC del 2 novembre è stata inoltrata una segnalazione riguardante un cliente colpito. L’azienda ha dichiarato incident-1 alle 22:20, ha individuato e revocato una chiave API dieci minuti dopo e ha innalzato la gravità dell’incidente a livello critico alle 23:50. Kernel afferma di aver dichiarato incident-2 con gravità critica alle 07:11 UTC del 3 novembre e di aver accertato alle 09:00 che l’autore di incident-2 era lo stesso di incident-1. La violazione ha interessato lo 0,28% dei clienti di Kernel.
Kernel ritiene che gli autori dell’attacco stiano utilizzando ARTEX come centro di comando
Kernel afferma che le prove raccolte suggeriscono che l’autore o gli autori dell’attacco siano mossi da interessi economici e che l’attività facesse parte di una più ampia campagna di cryptomining. L’azienda ritiene che stiano utilizzando ARTEX, una piattaforma di pentesting assistita dall’IA, come centro di comando per automatizzare e amplificare l’impatto della campagna. Kernel afferma di aver condiviso le informazioni sulle minacce note e confermate relative all’incidente con i team che si occupano degli abusi presso i suoi fornitori di hosting e il fornitore dell’infrastruttura di logging. Afferma inoltre di voler condividere ulteriori informazioni con le comunità che si occupano di analisi delle minacce e di poter fornire, se necessario, l’impronta tecnica dell’autore dell’attacco.
Kernel elenca i controlli sulle chiavi API e le misure di rilevamento tra i prossimi passi
Kernel afferma di aver revocato le credenziali compromesse, rimosso l’accesso del soggetto al suo fornitore di servizi di logging, bloccato gli indirizzi IP coinvolti e messo offline i server interessati. Ha inoltre sostituito le credenziali a cui quei server avevano accesso, verificato eventuali accessi non autorizzati su tutti i sistemi, informato le organizzazioni i cui dati sono stati esposti e fornito indicazioni sulle misure correttive. L’azienda afferma di aver attuato il proprio piano di risposta agli incidenti di sicurezza dal 2 al 4 novembre per identificare, contenere e rimuovere la minaccia e ripristinare tutti i sistemi interessati.
Il lavoro di Kernel sulla sicurezza dei prodotti comprende l’aumento dell’adozione di chiavi API con permessi delimitati tra i clienti, il miglioramento del controllo di rete per l’utilizzo delle chiavi API e il miglioramento dei meccanismi di rotazione delle chiavi API. Per quanto riguarda il rilevamento e la risposta, l’azienda afferma di stare rafforzando il proprio sistema Security Information and Event Management (SIEM) con strumenti di rilevamento e informazioni sulle minacce relativi a questo specifico autore e di investire in regole di blocco dinamiche per contrastare gli autori di minacce emergenti e in rapida evoluzione. Kernel invita chi cerca maggiori dettagli a rivolgersi a support@kernel.sh.