Durante la tarde del 15 de Septiembre de 2022, la empresa líder en transporte particular y delivery a nivel mundial, Uber, sufrió un ataque informático cuando un tercero logró acceso a plataformas internas de la organización luego de comprometer el acceso VPN de un usuario corporativo.
Algunas de las plataformas comprometidas:
– Slack
– Google Workspace (admin)
– Cuentas de AWS
– HackerOne (admin)
– SentinelOne EDR
– VMware vSphere
– Dashboards Financieros
Algunas capturas de pantalla compartidas por el atacante.
Uber ha confirmado el ataque a través de un Tweet, donde comunica lo siguiente «Actualmente estamos respondiendo a un incidente de ciberseguridad. Estamos en contacto con la policía y publicaremos actualizaciones adicionales aquí a medida que estén disponibles.«
The New York Times, habló con el actor malicioso, quien dijo que se infiltraron en la red de Uber después de realizar un ataque de ingeniería social. Al escanear la intranet, el atacante encontró un recurso compartido con scripts en Powershell, uno de ellos contenía unas credenciales de administrador para Thycotic (PAM), desde ahí pudieron pivotear a otras plataformas sensibles.
Respecto al ataque de Ingeniería Social, el atacante comentó que envió múltiples «notificaciones push» durante al menos una hora al empleado, luego lo contactó por WhatsApp donde se hizo pasar por personal de Uber IT y le dijo que si quería que estos mensajes pararan debía aceptar, el empleado aceptó y el atacante pudo agregar su dispositivos a la configuración de confianza de la VPN.
En otra imagen compartida, se muestran algunas de las credenciales a las que el atacante tuvo acceso, incluso se filtraron las credenciales de la «Cuenta de servicio de respuesta de seguridad«. Para aquellos que no saben qué son las cuentas de este estilo, se utilizan durante emergencias críticas, como una brecha de seguridad importante.
Además, el ingeniero de seguridad de Yuga Labs, Sam Curry, comentó que el atacante también tuvo acceso al programa de recompensas de HackerOne de la compañía, donde publicaron el siguiente mensaje en todos los reportes de la compañía.
Seguiremos actualizando a medida que se obtengan más noticias.
Alerta Temprana de Riesgos Cibernéticos (ATRc®)
Attack Surface Management
Cyber Threat Intelligence
