Niedawno użytkownik otrzymał e-mail od firmy White Hat, w którym stwierdzono:
Cześć, mam na imię Aaron. Piszę, aby poinformować Cię, że niektóre Twoje dane osobowe zostały upublicznione w Internecie. Zgłosiłem problem i upewniłem się, że został rozwiązany. Twoje informacje nie są już dostępne online.
Giełda kryptowalut Huobi przypadkowo ujawniła „raport wieloryba” w wyniku niedawnego naruszenia bezpieczeństwa danych. Raporty te zawierają imię i nazwisko, numer telefonu, adres i adres e-mail, które podałeś Huobi podczas rejestracji. Mają także salda portfela i informacje o Twoich aktywach.
phillips.technology to osobista witryna internetowa hakera w białym kapeluszu, dziennikarza obywatelskiego i rzecznika konsumentów Aarona Phillipsa. Aaron Phillips to amerykański profesjonalista z 4-letnim doświadczeniem w dziedzinie cyberbezpieczeństwa i 20-letnim doświadczeniem w IT. Jego praca koncentruje się na ochronie konsumentów przed naruszeniami danych i naruszeniami bezpieczeństwa, a jego prace pojawiały się w niektórych z najpopularniejszych witryn z wiadomościami technologicznymi na świecie. Jego obszary zainteresowań obejmują bezpieczeństwo aplikacji mobilnych i internetowych, bezpieczeństwo w chmurze oraz testy penetracyjne sieci.
Huobi odpowiedział:
Do incydentu doszło 22 czerwca 2021 r. w związku z nieprawidłowymi operacjami odpowiedniego personelu segmentu S3 w środowisku testowym japońskiej witryny. Odpowiednie informacje o użytkowniku zostały całkowicie odizolowane 8 października 2022 r. Po wykryciu tego incydentu przez zespół White Hat zespół bezpieczeństwa Huobi zajął się nim tak szybko, jak to możliwe, 21 czerwca 2023 r. (10 dni temu) i natychmiast zamknął dostęp do odpowiednich plików. Obecna luka została naprawiona i wszystkie istotne informacje o użytkowniku zostały usunięte. Dziękujemy zespołowi White Hat za ich wkład w bezpieczeństwo Huobi.
Pełny tekst brzmi następująco:
Huobi po cichu naprawił naruszenie bezpieczeństwa danych, które mogło umożliwić dostęp do firmowego magazynu w chmurze. Huobi niechcący udostępnił zestaw danych uwierzytelniających zapewniających dostęp do zapisu do wszystkich segmentów Amazon Web Services S3.
Firma używa segmentów S3 do hostowania swojej sieci CDN i strony internetowej. Każdy może użyć tych danych uwierzytelniających, między innymi do modyfikowania treści w domenach huobi.com i hbfile.net. Wyciek danych uwierzytelniających Huobi doprowadził również do ujawnienia danych użytkownika i dokumentów wewnętrznych.
Atakujący, którzy wykorzystają błąd Huobiego, będą mieli okazję dokonać największej kradzieży kryptowalut w historii.
Gdyby Huobi nie podjął działań, luka mogłaby zostać wykorzystana do kradzieży kont użytkowników i zasobów. Firma usunęła zhakowane konto, a jego użytkownicy nie są już zagrożeni.
Kiedy sprawdziłem otwarty zasobnik Amazon Web Services (AWS) S3, odkryłem wrażliwy plik zawierający dane uwierzytelniające AWS. Po krótkich poszukiwaniach dowiedziałem się, że dane uwierzytelniające były autentyczne, a konto należało do Huobiego.
Chociaż Huobi usunął konta ujawnione w wyniku naruszenia, firma nie usunęła jeszcze pliku. Dane uwierzytelniające są nadal dostępne online i każdy może je pobrać:
Według metadanych rozpowszechnianych przez Amazon Huobi przypadkowo opublikował dokument w czerwcu 2021 r.
Oznacza to, że firma udostępnia produkcyjne dane uwierzytelniające AWS od około dwóch lat.
Każdy, kto pobierze dane uwierzytelniające, ma pełny dostęp do przestrzeni dyskowej w chmurze Huobi. Mogę przesyłać i usuwać pliki we wszystkich segmentach S3 Huobi. Jest to szczególnie niebezpieczne, ponieważ Huobi intensywnie korzysta z wiader.
Te dane uwierzytelniające mogą służyć do modyfikowania i kontrolowania wielu domen Huobi. Atakujący mogą wykorzystywać infrastrukturę Huobi do kradzieży kont użytkowników i zasobów, rozprzestrzeniania złośliwego oprogramowania i infekowania urządzeń mobilnych.
Nic nie wskazuje na to, aby ktokolwiek wykorzystał tę lukę do ataku na Huobi.
Dostęp do zapisu do krytycznych segmentów S3
Aby ocenić wpływ tego naruszenia, najpierw wymieniłem wszystko, co mogłem. Okazało się, że było ich w sumie 315, wiele z nich było prywatnych.
Niektóre z tych segmentów mają takie same nazwy jak strony internetowe i sieci CDN obsługiwane przez Huobi. Na przykład jest to CDN, w którym znajdują się treści używane przez wiele witryn i aplikacji Huobi.
Następnie próbuję pisać do wiadra. Mogę zapisywać i usuwać pliki we wszystkich 315 segmentach. Na zrzucie ekranu poniżej przesłałem plik do CDN używanego przez Huobi do przechowywania i dystrybucji aplikacji na Androida.
Złośliwy użytkownik mógł przesłać zmodyfikowaną wersję aplikacji Huobi na Androida.
Amazon wykorzystuje role IAM do kontrolowania dostępu do swoich usług w chmurze. Nierzadko zdarza się, że duże firmy, takie jak Huobi, tworzą jedną rolę do zarządzania pamięcią masową w chmurze. Ale to podejście jest złe.
Dzielenie roli między wieloma zespołami może zapewnić atakującym znaczący dostęp. W takim przypadku mogę czytać poufne raporty, pobierać kopie zapasowe baz danych i modyfikować zawartość w CDN i na stronie internetowej. Mam pełną kontrolę nad danymi dotyczącymi niemal każdego aspektu działalności Huobi.
Prawdopodobnie najniebezpieczniejszym aspektem tego naruszenia jest dostęp do zapisu przyznany CDN i stronie internetowej Huobi. Firma wydaje dużo pieniędzy na testy, aby mieć pewność, że hakerzy nie będą mogli uzyskać dostępu do zapisu w infrastrukturze. To frustrujące, że Huobi miałby taki sam dostęp.
Gdy osoba atakująca będzie mogła pisać do sieci CDN, łatwo jest znaleźć możliwości wstrzyknięcia złośliwych skryptów. Gdy sieć CDN zostanie naruszona, wszystkie powiązane z nią witryny internetowe również mogą zostać naruszone. Weźmy jako przykład portal logowania Huobi.
Strona logowania Huobi w USA ładuje zasoby z co najmniej pięciu różnych sieci CDN. Skupmy się na czerwonej części powyżej. Jednym z pięciu jest oczywiście wiadro huobicfg.s3.amazonaws, ponieważ adres URL zawiera ciąg „s3.amazonaws”.
Ale pozostałe cztery również odpowiadają uszkodzonym wiadrom. Udało mi się zmusić Cloudfront do wygenerowania pełnych nagłówków odpowiedzi dla nieprawidłowych żądań. Nagłówek pokazuje, że część domeny hbfile.net jest obsługiwana przez Cloudfront za pośrednictwem AmazonS3.
W tym przypadku Cloudfront pełni rolę pośrednika, przekierowując żądania hbfile.com do segmentu S3. Na liście zainfekowanych zasobników znalazłem cztery z pięciu sieci CDN.
Mogę zapisywać i usuwać pliki we wszystkich sieciach CDN.
Ogólnie rzecz biorąc, zaatakowane sieci CDN i strony internetowe są trudne do wykrycia przez konsumentów. Z punktu widzenia użytkownika odwiedza on witrynę godną zaufania. Użytkownicy nie mogą stwierdzić, czy pliki przechowywane w sieci CDN zostały zmienione.
W przypadku oprogramowania chroniącego przed złośliwym oprogramowaniem niektóre złośliwe skrypty mogą zostać uruchomione, ponieważ są dostarczane z prawidłowego źródła. Dla hakerów typu black hat złamanie zabezpieczeń CDN jest jednym z najskuteczniejszych sposobów wstrzyknięcia kodu lub złośliwego oprogramowania do witryny internetowej.
Huobi ułatwił złośliwym użytkownikom przejęcie ich CDN i strony internetowej. O ile mi wiadomo, każda strona logowania obsługiwana przez firmę jest dotknięta tą luką.
Przez dwa lata każdy użytkownik logujący się do witryny lub aplikacji Huobi ryzykuje utratę konta.
Naruszenie budzi również obawy dotyczące prywatności. Korzystając z danych uwierzytelniających Huobi, które wyciekły, udało mi się uzyskać dostęp do raportów zarządzania relacjami z klientami (CRM) zawierających informacje o użytkownikach.
Raporty, które znalazłem, zawierały dane kontaktowe i salda kont „kryptowielorybów”. Wieloryby to zamożni użytkownicy dysponujący dużymi ilościami kryptowaluty, a Huobi jest wyraźnie zainteresowany budowaniem z nimi relacji.
Wygląda na to, że firma ocenia tych użytkowników na podstawie ich poziomu umiejętności. Użytkownicy o większym wpływie na rynek zostaną sklasyfikowani wyżej.
W sumie Huobi ujawnił dane kontaktowe i informacje o kontach 4960 użytkowników.
Kolejny zestaw danych ujawnionych w wyniku wycieku Huobi. Jest bazą danych transakcji pozagiełdowych (OTC).
Po rozpakowaniu kopia zapasowa bazy danych przekracza 2 TB i wydaje się, że zawiera każdą transakcję OTC przetworzoną przez Huobi od 2017 roku. Może to budzić obawy wielu traderów, ponieważ jedną z korzyści płynących z handlu OTC jest większa prywatność.
Niektóre transakcje OTC są wyróżnione poniżej. Każdy, kto handluje OTC na Huobi, doświadczył takich wycieków informacji od 2017 roku.
Na powyższym zrzucie ekranu możesz zobaczyć konto użytkownika, szczegóły transakcji i adres IP tradera. Pełna baza danych zawiera dziesiątki milionów takich transakcji.
W bazie danych znajdują się również notatki, które dają nam pewien wgląd w to, jak Huobi zarządza swoją platformą OTC za kulisami.
Szczegóły dokumentu Infrastruktura Huobi
Huobi ujawniła informacje o sobie. W załączniku przedstawiono wewnętrzne funkcjonowanie infrastruktury produkcyjnej. Wymienione są stosy oprogramowania, usługi w chmurze, serwery lokalne i inne wrażliwe szczegóły.
Te pliki, podobnie jak inne dane wyciekające z Huobi, są teraz bezpieczne.
Jedną z najbardziej unikalnych sieci CDN dotkniętych włamaniem Huobi jest Utopo Blockchain NFT. Złośliwy użytkownik może zmienić plik JSON w sieci CDN, aby edytować plik NFT.
NFT to linki do plików JSON w łańcuchu bloków. Modyfikowanie plików JSON powoduje zmianę właściwości NFT. W tym przypadku wszystkie NFT są edytowalne, mimo że nie wprowadziłem żadnych zmian.
Wciąż badane są zagrożenia bezpieczeństwa związane z NFT. W niektórych przypadkach zmodyfikowane NFT mogą zostać wykorzystane do wstrzyknięcia złośliwego kodu do przeglądarek, aplikacji lub gier. Nic nie wskazuje na to, że coś takiego miało miejsce tutaj.
oś czasu
Oto pełny harmonogram wydarzeń:
Ostatecznie Huobi unieważnił dane uwierzytelniające i zabezpieczył swoje miejsce w chmurze.
Użytkownicy Huobi cudem uciekli.
Niestety w tym przypadku nie mogę stwierdzić, że Huobi dobrze wykonało swoje zadanie. Wyciek danych uwierzytelniających Amazona był wystarczająco zły, ale uzyskanie odpowiedzi zajęło miesiące, a nawet wtedy Huobi zdecydował się pozostawić dane uwierzytelniające w Internecie.