GoDaddy-passordbrudd rammer over en million brukere

30. november 2021 | Blogg

Det amerikanske finanstilsynet (SEC) har publisert en «sikkerhetshendelse» sendt inn av netttjenestegiganten GoDaddy . GoDaddy sier at de i november 2021 innså at det var nettkriminelle i nettverket deres, kastet dem ut, prøvde å finne ut når hackerne kom seg inn, og hva de klarte å gjøre mens de var inne.

Hva skjedde?

Ifølge GoDaddy hadde hackerne følgende:

Aktiv tilgang siden tidlig i september 2021, et ti ukers vindu.
Innhentede e-postadresser og kundenumre av 1,200,000 XNUMX XNUMX kunder med administrert WordPress (MWP).
Fikk tilgang til alle aktive MWP-brukernavn og passord for sFTP (sikker FTP) og WordPress-databaser.
Fikk tilgang til private SSL/TLS-nøkler som tilhører noen MWP-brukere. (Rapporten sier «en delmengde av aktive brukere», uten å oppgi et estimert antall)

GoDaddy opplyste også at standard WordPress-administratorpassord som ble opprettet da hver konto ble åpnet, også ble åpnet. CyberHoot håper at få, om noen, aktive brukere har latt dette passordet være uendret etter at de har opprettet WordPress-kontoen sin.

GoDaddys formulering sier at «sFTP […] passord ble eksponert» , noe som får det til å høres ut som om disse passordene hadde blitt lagret i klartekstformat. Hvis passordene hadde blitt saltet, hashet og strukket , ville ikke GoDaddy ha trengt å rapportere eksponeringen av disse passordene. Riktig hashet passord, når de først er stjålet, kan ikke lett knekkes av angripere. Et velvalgt passord, riktig saltet, hashet og strukket, kan ta år å knekke (med dagens datautstyr) og kan bare forsøkes med ett passord om gangen.

Forskere ved WordFence , et selskap som fokuserer på WordPress-sikkerhet, sier at de var i stand til å lese ut sitt eget sFTP-passord via det offisielle MWP-brukergrensesnittet, noe som ikke burde vært mulig hvis passordene var lagret i en «ikke-reversibel» hashet form.

Hva nå?

GoDaddy har nå tilbakestilt alle berørte passord og sier at de er i ferd med å erstatte alle potensielt stjålne nettsertifikater med nye. GoDaddy er også i ferd med å kontakte så mange som mulig av de 1,200,000 XNUMX XNUMX berørte brukerne, noe som er et nyttig trekk for kundene deres, med tanke på at det bare har vært kjent i en håndfull dager.

Men med ti uker igjen før de ble oppdaget, kunne kriminelle i dette angrepet ha brukt de kompromitterte sFTP-passordene og nettsertifikatene til å utføre ytterligere angrep mot MWP-brukere. Spesielt kan kriminelle som kjenner sFTP-passordet ditt, i teorien ikke bare laste ned filene som utgjør nettstedet ditt, og stjele kjerneinnholdet ditt, men også laste opp uautoriserte tillegg til nettstedet.

Disse uautoriserte nettstedstilleggene kan omfatte:

Bakdørs WordPress-pluginer å la kjeltringene snike seg inn igjen selv etter at passordene dine er endret.
Falske nyheter som ville sette bedriften din i forlegenhet hvis kundene skulle komme over det.
Skadevare som er direkte rettet mot nettstedet ditt, for eksempel kryptoutvinning eller datastjeling av kode som er designet for å kjøre rett på serveren.
Skadevare som retter seg mot besøkende på nettstedet ditt, for eksempel zombie-skadevare som skal serveres som en del av et phishing-svindelforsøk.

I tillegg kan skurker med en kopi av din private SSL/TLS-nøkkel sette opp et falskt nettsted andre steder, for eksempel en investeringssvindel eller en phishing-server, som ikke bare hevdet å være nettstedet ditt, men også aktivt «beviste» at det var ditt ved å bruke ditt eget nettsertifikat.

Hva gjør jeg?

Selv om det er mye du kan gjøre for å ikke bli offer i slike situasjoner, er følgende tiltak smarte første skritt å ta hvis du tror at du eller bedriften din kan ha vært involvert i dette bruddet:

Bytt ut SSL-sertifikatet ditt så snart som mulig. Selv om GoDaddy formelt tar kontakt for å gjøre dette, må du sørge for at dette er en topprioritet når du kontaktes. Hvis du ikke blir kontaktet, ta kontakt med dem for å sende inn en forespørsel om dette.
Hvis du ikke bruker en passordbehandler i bedriften din, Informer WordPress-brukerne dine om dette bruddet på sFTP-passordet deresDe vil sannsynligvis bruke passordet på nytt andre steder, og bør endre det umiddelbart der det ble brukt. Dette er et FLOTTE tidspunkt å ta i bruk en passordbehandler for brukerne dine.
Følg med for kontakt fra GoDaddy om hendelsen. Sjekk at kontaktinformasjonen din er korrekt, slik at du garantert mottar en e-post hvis selskapet trenger å sende deg den.
Slå på 2FA hvis du ikke allerede har gjort det. I dette tilfellet brøt angriperne tilsynelatende sikkerheten ved hjelp av en sårbarhet, men det er mye vanskeligere å komme tilbake til brukernes kontoer senere ved å bruke eksfiltrerte passord hvis passordet alene ikke er nok til å fullføre autentiseringsprosessen.
Gjennomgå alle filene på nettstedet ditt, spesielt de i WordPress-plugin- og temakatalogene. Ved å laste opp fellepluginer kan angriperne kanskje komme seg inn på kontoen din igjen senere, selv etter at alle de opprinnelige hullene er lappet og stjålne passord er endret.
Gjennomgå alle kontoene på nettstedet ditt. Et annet populært triks blant nettkriminelle er å opprette én eller flere nye kontoer, ofte ved å bruke brukernavn som er nøye utvalgt for å passe sammen med de eksisterende navnene på nettstedet ditt, som en måte å snike seg inn igjen senere.
Vær forsiktig med alle som kontakter deg plutselig og tilbyr seg å «hjelpe» deg med å rydde opp. Angriperne i dette tilfellet stakk av med e-postadressene til alle berørte brukere, så disse «tilbudene» kan komme direkte fra dem, eller faktisk fra en hvilken som helst annen ambulansejagende nettkriminell der ute som vet eller gjetter at du er en MWP-bruker.

Ytterligere anbefalinger for nettsikkerhet

I tillegg til disse beskyttelsene anbefaler CyberHoot også at bedrifter tar følgende skritt for å sikre virksomheten sin. Disse tiltakene gir mye verdi for kostnadene og tidsinvesteringen de krever (spesielt når de leveres via CyberHoot).

Styr ansatte med retningslinjer og prosedyrer. Du trenger som et minimum en passordpolicy, en policy for akseptabel bruk, en policy for informasjonshåndtering og et skriftlig informasjonssikkerhetsprogram (WISP).
Lær opp ansatte i hvordan de kan oppdage og unngå phishing-angrepTa i bruk et læringsplattform som CyberHoot for å lære de ansatte ferdighetene de trenger for å bli mer selvsikre, produktive og sikre.
Test ansatte med phishing-angrep for å øve. CyberHoots phishing-testing lar bedrifter teste ansatte med troverdige phishing-angrep og gi de som mislykkes opplæring i korrigerende phishing.
Implementer kritisk cybersikkerhetsteknologi, inkludert tofaktorautentisering på alle kritiske kontoer. Aktiver filtrering av søppelpost i e-post, valider sikkerhetskopier, distribuer DNS-beskyttelse, antivirusog anti-skadelig programvare på alle endepunktene dine.
I den moderne hjemmekontortiden bør du sørge for at du administrerer personlige enheter som kobler seg til nettverket ditt ved å validere sikkerheten deres (oppdateringer, antivirus, DNS-beskyttelse osv.) eller forby bruken av dem helt.
Hvis du ikke har hatt en risikovurdering fra en tredjepart de siste to årene, bør du ha en nå. Å etablere et rammeverk for risikostyring i organisasjonen din er avgjørende for å håndtere de mest alvorlige risikoene dine med begrenset tid og penger.
Kjøp cyberforsikring for å beskytte deg i en katastrofal situasjon med ulykke. Cyberforsikring er ikke annerledes enn bil-, brann-, flom- eller livsforsikring. Den er der når du trenger den som mest.

De fleste av disse anbefalingene er innebygd i CyberHoot. Med CyberHoot kan du styre, lære opp, vurdere og teste dine ansatte. Besøk CyberHoot.com og registrer deg for tjenestene våre i dag. Fortsett i det minste å lære ved å registrere deg for våre månedlige nyhetsbrev om cybersikkerhet for å holde deg oppdatert på de siste oppdateringene om cybersikkerhet.