'Na Microsoft ook HPE slachtoffer van Russische staatshackers'

Hewlett Packard Enterprise zegt dat het gehackt is door dezelfde Russische hackersgroepering die eerder toegang verkreeg tot de e-mailaccounts van managers bij Microsoft. Er zou een 'klein percentage' aan e-mailgegevens van HPE zijn gestolen.

In een rapport van de Amerikaanse Securities and Exchange Commission is te lezen dat Midnight Blizzard vermoedelijk het cloudgebaseerde e-mailsysteem van HPE heeft gecompromitteerd. De hackersgroepering staat er algemeen om bekend gesponsord te worden door de Russische overheid en wordt onder meer in verband gebracht met de SolarWinds-aanval van enkele jaren geleden.

HPE zou sinds 12 december 2023 op de hoogte zijn van de inbreuk in zijn e-mailomgeving. Intern onderzoek zou hebben uitgewezen dat Midnight Blizzard vanaf mei 2023 'gegevens heeft geraadpleegd en geëxfiltreerd' uit een 'klein percentage' van HPE's e-mailboxen. Daarmee zouden de hackers onder meer toegang hebben gehad tot e-mails van medewerkers van de cybersecurityafdeling. In de SEC-aanvraag stelt HPE dat de inbreuk waarschijnlijk verband houdt met een eerder incident waar HPE sinds juni 2023 van op de hoogte is, waarbij het Russische hackerscollectief toegang zou hebben verkregen tot 'een aantal' SharePoint-bestanden.

Het hackerscollectief zou onlangs een password spray attack hebben uitgevoerd om toegang te krijgen tot de e-mailaccounts van managers bij Microsoft. Het is niet duidelijk of de aanvallen op Microsoft en HPE aan elkaar gelinkt zijn.

Reacties (48)

[Goldwing1973]

password spray attack

Ik draai op m'n mailservertje fail2ban, dan zouden ze hooguit (per IP) 4 kansen per 5 minuten hebben om vervolgens 12 uur geblokkeerd te worden.
Je zou verwachten dat het cybersecurityteam van HPE minimaal een vergelijkbare beveiliging heeft of 2FA om een nieuw device te laten aanmelden.

[Tweakert2020]

Veel IT zaken zijn ook gewoon uitbesteed bij HPE.

[TheNephilim]

Voor dergelijke aanvallen worden ook vele duizenden IP-adressen ingezet. Enige bruikbare informatie is vaak patroon en soms welk 'blok' het betreft qua IP-adressen; bijv. land of provider of netwerk.

[Byron010]

Ze kunnen prima botnets gebruiken om dit uit te voeren (wellicht nog in combinatie met VPN's), daar gaat je IP banning niet veel tegen kunnen doen. Zeker niet als ze weten dat de IP's/Bots rouleren elke 4 kansen of 5 minuten het al omzeilt.

[segil]

In een artikel over de hack op MS, wellicht ook van toepassing voor HPE:

Cozy Bear maakt vooral gebruik van password spraying om toegang tot accounts en systemen te krijgen. Dit is een techniek waarbij een aanvaller veelgebruikte wachtwoorden probeert om op een account in te loggen. Om detectie te voorkomen gebruikt een aanvaller eerst één wachtwoord tegen een groot aantal accounts, voordat er een tweede wachtwoord wordt gebruikt. Door deze techniek voorkomt de aanvaller dat een account wordt geblokkeerd en de aanval wordt opgemerkt. Vaak wordt er ook vanaf allerlei verschillende ip-adressen ingelogd.

https://www.security.nl/p...caties+toegang+tot+e-mail

[DigitalExorcist]

Ja maar dat maakt je gelijk gevoelig voor DDOS'en. Laat een half miljoen IP-adressen dit in 30 seconden tijd doen en je fail2ban mailservertje valt heus wel om.

[Goldwing1973]

Omvallen, mee eens, maar dat geeft ze nog niet gelijk toegang, het sluit de poort alleen maar omdat er niks meer luistert.
Maar het artikel heeft het niet over een DDOS, maar over een password spray attack, en dan wil je juist NIET dat de mailserver omvalt.

[ibmpc]

Werkt fail2ban echt? Volgens mij heb je via Tor altijd een ander IP en met een oneindige voorraad IPv6 adressen schiet je met fail2ban volgens mij echt niets op.

Microsoft gebruikt volgens mij WHFB en phishing resistant, dus een password spray zou technisch gezien niet kunnen werken. 2FA is niet phishing resistant en bovendien niet veel veiliger dan password only.

[Goldwing1973]

Tor exit nodes heb ik sowieso al geblocked in m'n firewall voor SMTP/IMAP/POP3 en diverse andere poorten, heb een script draaien die 1x per dag de exit nodes download en waar nodig de firewall aanpast.

https://www.dan.me.uk/torlist/?exit

[Reactie gewijzigd door Goldwing1973 op 23 juli 2024 19:03]

[ibmpc]

Maar is de lijst van exitnodes dan echt actueel? Ook mijn IP adres kan een exitnode zijn, er hoeft maar één malafide device in mijn netwerk te hangen. De lijst lijkt mij elke minuut wijzigbaar. Een update per dag lijkt mij onvoldoende.

Sowieso ben ik gestopt met het beveiligen van het netwerk. Ik beveilig alleen nog endpoints. Netwerkbeveiliging is naar mijn mening niet meer zo belangrijk als vroeger. Ik heb thuis een gastnetwerk, en daar zit iedereen op. Geisoleerd van elkaar. En alle endpoints thuis rapporteren terug naar hun MDM en hebben een firewall, een EDR en WHFB verplicht.

[Reactie gewijzigd door ibmpc op 23 juli 2024 19:03]

[Bor]

Sowieso ben ik gestopt met het beveiligen van het netwerk.

en

Ik heb thuis een gastnetwerk, en daar zit iedereen op. Geisoleerd van elkaar. En alle endpoints thuis rapporteren terug naar hun MDM en hebben een firewall

Dus kortom, je zet wel degelijk in op beveiligen van het netwerk door isolation te gebruiken en te firewallen. Je verplaatst slechts deels de punten waar je je beveiligingsmaatregelen afdwingt.

[Reactie gewijzigd door Bor op 23 juli 2024 19:03]

[ibmpc]

Alleen zijn onze persoonlijke endpoints veilig in andere gastnetwerken. Door firewalling, Defender en rapportage naar het security center. En onze familiesharepoint is alleen phishing resistant te bereiken. Dus het maakt niet uit in welk netwerk ze zitten, of op welk rogue accesspoint ze zitten, de data is in de basis veilig. Ook is onze belangrijkste sharepoint site readonly en kan deze alleen na elevatie worden bijgewerkt.

[Reactie gewijzigd door ibmpc op 23 juli 2024 19:03]

[HKLM_]

Security.nl schrijft dat gecompromitteerde mailaccounts van het cybersecurityteam van HPE zijn.

https://www.security.nl/p...nts+van+cybersecurityteam

Edit: Typo opmerking @Loft

[Reactie gewijzigd door HKLM_ op 23 juli 2024 19:03]

[Loft]

Security.nl schrijft dat gecompliceerde mailaccounts van het cybersecurityteam van HPE zijn.

Ik vermoed "gecompromitteerde"

[michielonline]

Klinkt altijd interessant dat ‘staatshackers’. Hebben ze een foto van hun KGB id kaart achtergelaten ofzo?
Volgens mij is het tegenwoordig erg moeilijk vast te stellen waar een dreiging vandaan komt aangezien een IP adres ook al niets meer betekend qua geo locatie of eigenaar? En als dit zo’n groot probleem is, waarom haal je dan niet het .ru tld offline en alle AS van Russische organisaties uit BGP? Dan hebben ze mooi hun eigen stukje geïsoleerd internet.

[Triple_D]

Misschien zijn ze gehacked via de cartridges van hun printers

https://www.wired.com/sto...hackers-dynamic-security/

[kdekker]

Gewoon beter lezen: HPE != HP. Die 'E' staat ergens voor en al heel wat jaren zijn het afzonderlijke bedrijven

[Triple_D]

Ah ok, nee dan hebben ze vast geen printers van HP inderdaad

[jpsch]

Microsoft draait toch ook grotendeels Linux?

[Frame164]

Ja, klopt. Maar ik gok dat dit soort hacks eerder het gevolg zijn van social engineering dan dat het via software vulnerabilities is gedaan.

[Wannial]

Workloads op het azure platform zij grotendeels open source, wellicht bedoelde je dat?

[Squats]

Toch maar Dell Technologies dan

[theduke1989]

met tijd dat een email account wordt gehackt. man man, wat een tijd leven we in.

[jmsaow]

Dit zijn toch bedrijven die zeggen dat hun infrastructuur helemaal veilig is voor hun klanten. Moet ik nu aannemen dat de top van die bedrijven zelf geen gebruik maken van die veilige omgeving, of willen ze dat niet gebruiken omdat de Amerikaanse CIA toegang heeft op alles wat ze opslaan?

[Wouterie]

Wat is eigenlijk het bewijs dat het daadwerkelijk Russische staatshackers zijn? Ik snap best dat er een grote kans is, dat er vermoedens zijn en aanwijzingen. Maar doorgaans ontbreekt het aan bewijs.
De VS hebben een grote mond over de eventuele gevolgen van cybercrime, maar aangezien er zoverre weinig (zichtbare) gevolgen aan hangen ga ik er vanuit dat ze weinig harde bewijzen hebben dat het door de Russische staat georganiseerd is.

[Dutch_CroniC]

prpgnd

[jklu]

De gehackte HPE mail accounts zouden volgens Bleeping Computer Office365 zijn.
https://www.bleepingcompu...ity-teams-email-accounts/

[gamezfreak]

Blijf het toch wel apart vinden dat vooral M$ dit overkomt, die zouden toch tot over hun oren dichtgetimmerd moeten zitten. Waarom moeten wij dan dure upgrades kopen met tpm beveiliging enzv, en dan nog windows installaren met alle "beveiligingsupdates". en dan zijn wij nog maar de gewone burger.

Dat komt omdat de gewone burger net genoeg weet hoe ze hun laptop / pc aan moeten zetten en hoe ze hun mail / nieuws kunnen lezen en luisteren. De gewone burger vind het niet zo belangrijk om op de hoogte te zijn wat er in de cybersecurity wereld gebeurt, want dat boeit hun niet. Totdat zij zelf slachtoffer worden van ransomware of welk andere vorm van attack vector dan ook. Daarnaast ben ik blij dat MS bij nieuwe systemen, automatisch de updates installeert, zo voorkom je dat je maandenlang zonder updates hebt rondgesurfd en dus een makkelijkere target voor hackers bent.

Dit geeft wel aan hoeveel impact privilege escalation heeft op een bedrijf en dat het bij elk bedrijf het gebeurt, ongeacht de grootte er van. Zoals @robbietjuh het al zelf zei; als enterprise bedrijf ben je geliefd bij hackers voor een echte targeted attack.

Ik heb niet zo veel zin om hierop een deep dive te doen, maar om het even duidelijker te maken: d.m.v. de opgegeven attack vector, weet de hacker met zekerheid dat de wachtwoord goed én recent is. Waarschijnlijk hebben ze de front-end gekopieerd, waardoor alle inhoud (template, fonts, format, schrijfwijze, etc.), vaak is de URL dan ook iets anders dan normaal (bijv. tweakers.nl i.p.v. tweakers.net). De site lijkt in eerste instantie legitiem, waarna de gebruiker begint met inloggen. Hierna kan de attacker kiezen om 2 x de command "wrong username / password" laten tonen, zodat de gebruiker 2 x zijn inloggevens invult. Hiermee kan de attacker de gestolen credentials valideren, omdat de gebruiker 2 x hetzelfde heeft ingevuld. Bij de 3e keer zorgt de attacker er voor, dat de ingevulde gegevens doorgestuurd worden naar de echte site, waarna de gebruiker is ingelogd. De gebruiker zou dan eerder denken dat hij/zij te dikke vingers heeft of dat de toetsenbord stuk is, terwijl er intussen de hacker volop bezig is om de credentials te misbruiken.

Daarna kan er d.m.v. privilege escalation en network mapping (nmap) de netwerk verder onderzocht worden en gekeken worden of er een zwakke schakel is, die misbruikt kan worden. Vervolgens kan je

Het is de vraag of dit intern of extern is gebeurd. Vaak hoeft er bij interne koppelingen (lees fysiek op locatie / kantoor), geen MFA gebruikt te worden. Tenzij je over een VPN gaat, waar MFA wel verplicht is.

Mensen moeten er bewust van worden dat de digitale oorlogvoering (lees: het hacken van bedrijven en personen) al jaren actief is en dat niemand veilig is voor de echte hacker. De echte hackers zijn vaak diegene die hun eigen malicous code schrijven en het compleet aanpassen aan het bedrijf, dan wel de infrastructuur die zij gebruik van maken.

Daarom is het van belang dat je een goede anti-virus neemt, die betrouwbaar is en de nodige functies heeft om jezelf zoveel mogelijk te beschermen. Denk hierbij aan een firewall (losstaand van WIndows Firewall), emailbescherming, inbraakpreventie die alle actieve processen bewaakt en bij vreemd gedrag actie onderneemt (bijv. calc.exe die een externe session open zet), evt. smarthome monitor om je apparaten te monitoren incl. tablets, smartphones en randapparatuur en natuurlijk privacygerichte oplossingen.

Kortom, vervang je wachtwoorden als dat je je ondergoed vervangt; met regelmaat
P.S. passphrases die langer zijn dan 15 karakters (hoofdletters, kleine letters, cijfers en symbolen), heeft een hacker 77 miljoen jaar nodig om te kraken (tenzij ze dus met een password spray attack het achterhalen).

[latka]

Je advies van het wijzigen van wachtwoorden staat haaks op dat van de NIST: "In general, NIST recommends that passwords are only changed once a year unless there is an immediate threat or if the user suspects their password has been compromised in some way."

Dit om aan te geven dat paswoorden gewoon snel moeten verdwijnen: ze zijn niet compatible met gebruikers.

[Scriptkid]

En die 2 ifs zijn hier heel belangrijk want moet je dus wel goede monitoring en risk based acces hebben zoals in E5 licentie en het dan ook inregelen met +- 50+ ca rules.

Helaas hebben veel bedrijven dat nuet goed op orde en kun je dus eigelijk nog nuet met een simple pasw werken. Terwijl het juist belangrijk is zodat men het niet gaag hergebruiken of domme jaartallen toe gaat voegen.

Pasw moet je aan leren als kleine innen die je niet hoeft te wijzigen en goed monitored dan wordt het voor aanvallers heel lastig.

En voor admins dien alles alleen vanaf paw toegangkelijk te zijn en via jit en jea dicht gezet.

[latka]

Wut? Ik probeer even tussen de autocorrects heen te lezen, maar ik zie nergens bij NIST staan dat dit te monitoren is of moet zijn ven dat je hiervoor licenties aan moet schaffen (al willen fabrikanten dat uiteraard graag). Monitoring en risk based access hebben HPE en MS ook niet geholpen en men heeft er vrolijk maandenlang rondgelopen. Als zelfs MS en HPE dit niet kunnen gaat geen enkel bedrijf dit goed voor elkaar krijgen. De rest was te veel errors bij het parsen van de tekst om inhoudelijk te kunnen reageren.

[Scriptkid]

lol, dat staat letterlijk in je eigen qoute "unless there is an immediate threat"

Waarom heeft het MS niet geholpen, omdat dit op een ander level ligt, als je leest gaat het over een non prod tenant die dus niet onder het beheer van MS IT valt

[Infinigate]

Of gebruik phishingresistente authenticatie mogelijkheden als MFA. Je bent een knappe hacker als jij gebruik kan maken van mijn fysieke hardware sleutel welke de toegang tot mijn mailbox beschermt. Als email oplossingen in de toekomst nu helemaal wachtwoord loos gaan ondersteunen dan zijn er we eindelijk.... #PassKey

[robbietjuh]

Geeft dat niet al aan hoe verschrikkelijk ingewikkeld het eigenlijk is? Als normale gebruiker heb je al veel rekening met security te houden. Laat staan als groot bedrijf, waar je dagelijks met targeted attacks te maken hebt.

[Scriptkid]

De aanvallen zijn vaak het probleem niet.

Het interne exceptie beleid wel. Kom heel veel bedrijven tegen waar de whitelists groter zijn dan de blocklists.

Of service account die vanaf lokale server tegen cloud praten

Of service accounts met te veel permissies.

[Reactie gewijzigd door Scriptkid op 23 juli 2024 19:03]

[OuweDorper]

Kom heel veel bedrijven tegen waar de whitelists groter zijn dan de blocklists.

Klinkt prima. Dicht systeem met grote whitelist, of een open systeem met grote blacklist. Jij prefereert dus de tweede optie?

[Scriptkid]

Nee ik wil een dicht systeem zonder whitelists. Of in ieder geval niet single factor whitelists en geen whitelists op velden die totaal irrelevant zijn aan de security oplossing. En die withlists die we dan maken worden periodiek gevalideerd.

Als er een whitelisting gemaakt moet worden is het een teken dat er iets in het source systeem gewoon niet goed is, of dat het process van triage er achter niet goed is.

Een open systeem met blacklists is gewoon BS.

[latka]

Wat is een "single factor whitelists" nu weer? Dat je met 2FA toegang moet aanvragen tot www.disney.com oid?

[Scriptkid]

dacht dat iedereen dat inmiddels toch wel weet dat single factor = 1 factor of autehticatie methode, multifactor is meer dan 1 factor of authenticatie methode

[latka]

Ja, maar ik heb nog nooit meegemaakt dat whitelist of blacklist 2fa of überhaupt expliciete fa hebben...

[Scriptkid]

Domain whitelist is single factor. Super simple te abusen kost mij als redhead een paar probes en daarna vrijspel

Ip white list is single factor. Alleen het ip adress. Is een stuk moelijker maar is mogelijk zeker als ip nat of cloud is.

Wil je multifactor dan is het voor een redhat bijna onmogelijk onder compromise is dat domain.

Voorbeeld hiervan is wat wij als MS ook aanbevelen een Exchange Transport Rules die test voor domain = whitlist domain + Dmarc = PASS.

Nu heb je voor dkim tripple factor. Certificaat, domain en alignment.
Of voor spf tripple factor. Domain, IP, en alignment.

Waarbij je de ETR zou kunnen enhancen door spf te negeren gezien die zwakker is. Via dmarc = pass en dkim = pass.

Wil je nog een stap hoger naar quad factor dan kun je MTA-sts = pass toevoegen als 4de factor en weer je ook mitm op je whitelist.

[latka]

ah, ik zie. Ik zie nu ook waar het misgaat: ik gebruik 1-FA/2-FA voor de originele gebruikersauthenticatie doeleinde waarbij een factor iets is wat je hebt/bent of weet. Om te voorkomen dat mensen 2-FA gaan implementeren door 2 wachtwoorden te vragen en dat 2-FA te noemen. Ik vind het gebruik van 2-FA in de context van SMTP delivery op zijn minst verwarrend effectief is het 1-FA omdat een IP adres iets is wat je hebt, net als de PK van een DKIM...

[Scriptkid]

Ik heb het alleen maar over single en multifactor gehad ,

Het "A" tje heb je er zelf bij verzonnen denk ik.

[latka]

Correct. Mijn excuses.

[Krommetenen]

Nou ja ingewikkeld.

Je draagt op een bouwplek een helm en veiligheidsschoenen.

Dus in een digitale werkomgeving gebruik je ook een sterk wachtwoord en verificatie.

En bij een inbraak of ongeval in beide gevallen reageer je volgens de afspraken. Waterdicht IT of ern bouwvakker in vol kevlar of ruimtepak maakt de omgeving onwerkbaar.

Men duikt telkens achter hun “ingewikkeld” muurtje. Het is net als autogordel ooit was, een kwestie van wennen.
Men maakt het vaak ingewikkeld in hun hoofd.

[Frame164]

Jouw klok is stil blijven staan, aangezien je de belegen M$ gebruikt.

Maar buiten dat: als je alles zo dichttimmert dat er geen aanvallen kunnen plaatsvinden kan je er ook niet meer mee werken.

[DigitalExorcist]

Dat is vaak hét grote probleem. Je Security-afdeling wil iets veilig en dichtgetimmerd hebben 'want' dat is hun core business. Je gebruikers willen graag ongestoord werken want dat is hún core business. En de directie wil graag iets betaalbaars hebben want geld verdienen is hún core business.

Probeer dat allemaal maar eens op 1 lijn te krijgen....