Xakep #305. Многошаговые SQL-инъекции
Как сообщили специалисты Data Leakage & Breach Intelligence (DLBI), хакерская группировка DumpForums заявила о компрометации инфраструктуры компании «Доктор Веб».
При этом через официальный Telegram-бот компании пользователям пришли сообщения о взломе, а хакеры уже опубликовали дампы нескольких БД внутренних ресурсов.
По информации DLBI, хакеры обнародовали дампы ldap.dev.drweb[.]com, vxcube.drweb[.]com, bugs.drweb[.]com, antitheft.drweb[.]com, rt.drweb[.]com и так далее. Исследователи пишут, что данные актуальны на 17 сентября 2024.
В своем Telegram-канале группировка заявляет, что похитила у компании более 10 ТБ данных и скрывалась в сети компании более месяца.
«Нам удалось взломать и выгрузить сервер корпоративного GitLab, где хранились внутренние разработки и проекты, сервер корпоративной почты, Confluence, Redmine, Jenkins, Mantis, RocketChat — системы, где велась разработка и обсуждались задачи. Все проекты по улучшению безопасности теперь, кажется, нуждаются в защите сами по себе. Не оставили без внимания и ресурсы по управлению ПО. Клиентские базы данных. Да, данные пользователей, которые доверяли Dr.Web свою безопасность, мы так же выгрузили. Вишенка на торте — домен контроллер. Овладев им, нам оставалось лишь пополнять наши накопители, выгружая все больше данных», — гласит сообщение DumpForums.
Бывший сотрудник «Доктор Веб», пожелавший сохранить анонимность, подтвердил «Хакеру» подлинность информации на опубликованных хакерами скриншотах.
Представители «Доктор Веб» уже выпустили официальное заявление, в котором пишут, что сообщения о взломе не соответствуют действительности.
«8 октября 2024 года в одном из телеграм-каналов было опубликовано заявление о взломе инфраструктуры нашей компании.
Целевая атака на наши ресурсы действительно была осуществлена в сентябре, мы сразу сообщили об этом, выпустив новость.
Атака была своевременно пресечена, все ресурсы были отключены от сети и прошли тщательную проверку в соответствии с протоколами безопасности. Основной целью было требование выкупа от нашей компании, но мы не ведем никаких переговоров со злоумышленниками. На данный момент правоохранительные органы проводят расследование, в связи с чем мы не можем давать подробные комментарии, чтобы не мешать проведению следствия.
Опубликованная в Телеграм информация в основной своей части не соответствует действительности, пользовательские данные затронуты не были. Какой-либо угрозы безопасности нашим пользователям ни обновления вирусных баз, ни обновления программных модулей не несут.
Мы усилили меры безопасности всех ресурсов компании и изучаем выложенные в телеграм-каналах скриншоты на предмет выявления скомпрометированных данных», — пишут представители «Доктор Веб».
Напомним, что в сентябре 2024 года «Доктор Веб» сообщала, что подверглась хакерской атаке. Тогда представители компании заявляли, что «успешно локализовали угрозу и убедились, что она не затронула клиентов компании», а также подчеркивали, что никто из пользователей продуктов компании не пострадал.
