تکذیب نقض داده توسط شرکت اوراکِل

به گزارش کارگروه امنیت سایبربان؛ شرکت اوراکِل (Oracle) پس از اینکه یک عامل تهدید ادعا کرد که 6 میلیون رکورد داده را از سرورهای ورود «SSO» ابر اوراکِل (Oracle Cloud) به فروش رسانده، این موضوع را تکذیب کرد.

اوراکِل گفت:

«هیچ نقضی در ابر اوراکِل صورت نگرفته است. اعتبارنامه‌های منتشر شده برای ابر اوراکِل نیست. هیچ مشتری با نقض یا از دست دادن داده‌ای مواجه نشده است.»

این بیانیه پس از آن منتشر شد که یک عامل تهدید معروف به «rose87168» چندین فایل متنی حاوی یک پایگاه داده نمونه، اطلاعات «LDAP» و لیستی از شرکت‌هایی را منتشر کرد که ادعا می‌کردند از پلتفرم  SSOابر اوراکِل به سرقت رفته‌اند.

عامل تهدید مدرک دیگری مبنی دسترسی به سرورهای ابر اوراکِل منتشر کرد و URL را با وبگاه تخصصی «BleepingComputer» به اشتراک گذاشت که نشان می‌دهد آنها یک فایل txt. حاوی آدرس ایمیل «ProtonMail» خود را در سرور «login.us2.oraclecloud.com» آپلود کرده‌اند.

ادعای نقض اطلاعات اوراکِل

rose87168 اکنون داده‌های به سرقت رفته از سرویس SSO ابر اوراکِل را به قیمتی نامشخص یا در ازای سوءاستفاده‌های روز صفر در انجمن هک «BreachForums» می‌فروشد.

آنها اعلام کرده‌اند که داده‌ها (شامل رمزهای عبور رمزگذاری شده SSO، فایل‌های Java Keystore (JKS)، فایل‌های کلیدی و کلیدهای JPS مدیر سازمانی) پس از هک به سرورهای «login.(region-name).oraclecloud. com» منتقل شده‌اند.

این گروه هکری ادعا کرد:

«گذرواژه‌های SSO رمزگذاری شده‌اند و می‌توان آن‌ها را با فایل‌های موجود رمزگشایی کرد. همچنین رمز عبور هش‌شده LDAP را می‌توان کرک کرد. ما دامنه‌های همه شرکت‌های موجود در این درز را فهرست می‌کنیم. شرکت‌ها می‌توانند مبلغ مشخصی را برای حذف اطلاعات کارمندان خود از لیست قبل از فروش بپردازند.»

آنها همچنین پیشنهاد داده‌اند که برخی داده‌ها را با هر کسی که می‌تواند به رمزگشایی رمزهای عبور SSO یا شکستن رمزهای عبور LDAP کمک کند، به اشتراک خواهند گذاشت.

هکرها حدود 40 روز پیش به سرورهای ابر اوراکِل دسترسی یافته‌اند و ادعا کردند که پس از استخراج داده‌ها از مناطق ابری «US2» و «EM2» به شرکت ایمیل ارسال کرده‌اند.

در تبادل ایمیل، rose87168 گفت که از اوراکِل خواسته 100 هزار دلار برای اطلاعات مربوط به نحوه نفوذ به سرورها بپردازد، اما ظاهراً شرکت پس از درخواست تمام اطلاعات مورد نیاز برای تعمیر و پچ از پرداخت خودداری کرده است.

هنگامی که از آنها پرسیده شد که چگونه سرورها را نقض کرده‌اند، عامل تهدید گفت که همه سرورهای ابر اوراکِل از یک نسخه آسیب‌پذیر با CVE عمومی (نقص) استفاده می‌کنند که در حال حاضر PoC یا اکسپلویت عمومی ندارد.