סייברארק חושפת פרצת אבטחה חמורה בענן של מיקרוסופט

סייברארק חושפת הבוקר פרצת אבטחה חמורה שמאפשרת לתוקפים מזדמנים לחדור לתשתית הענן של חברות וארגונים המשתמשות במיקרוסופט Azure
באמצעות הפרצה ניתן להשיג גישה לשרתים ואפליקציות רגישות של משתמשי הענן של מיקרוסופט, לרבות משתמשים עסקיים ב- Azure (סביבת הענן של מיקרוסופט) ומשתמשי Microsoft Office 365.

במצטבר מדובר במאות מיליונים של משתמשי קצה.

חוקרי מעבדות סייברארק מצאו כי הפרצה, המכונה BlackDirect, מאפשרת לתוקף לגנוב זהות של משתמש ענן של מיקרוסופט מבלי שהמשתמש ירגיש בכך. כשמדובר במשתמשים עסקיים, התוקף עלול להשיג בדרך זו הרשאות למשתמשים "חזקים", בעיקר אנשי IT בארגון, שדרך החשבונות שלהם אפשר לבצע מגוון פעולות חמורות, החל ממחיקת כל המשתמשים בארגון, דרך הוספת משתמשי Admins שאינם קיימים, גניבת נכסי המידע הרגישים ביותר בארגון ועד להשבתה של כל סביבת הענן של אותו ארגון, ולמעשה – השבתת פעילות הארגון.

לפי טכניקת המתקפה, התוקף מנצל את פרצת האבטחה באמצעות לינק זדוני שהוא שולח למותקף, לחיצה על הלינק תעביר באופן אוטומטי את זהות המשתמש המותקף אל התוקף, וזאת ללא צורך בהרצת קוד על תחנת המותקף. טכניקה נוספת לניצול הפרצה היא כאשר התוקף הצליח להשתלט על אתר אמין בעיני המשתמש, ופרצת האבטחה מאפשרת לתוקף לגנוב את הזהות של המשתמשים שגולשים לתומם באתר.

לאחר גניבת הזהות, המשתמש מועבר אוטומטית לאתר שהוא מכיר כאמין, והתוקף משתמש בזהות הגנובה על מנת לבצע את זממו בשם המותקף או לייצר משתמש חדש עם הרשאות גבוהות בדומיין (כדוגמתglobal administrator) של הקורבן המותקף.

לדברי עומר צרפתי, חוקר במעבדות סייברארק: "כיום סביבות מודרניות רבות משתמשות בדרכי אימות זהות מתקדמות, ולצד היתרונות הרבים ישנם גם חסרונות, לדוגמא: החולשה שמצאנו שמאפשרת לגנוב את החשבון של המשתמש. פוטנציאל התקיפה שזיהינו גדול במיוחד כיוון שהוא מאפשר לעקוף את מנגנון האימות הדו-שלבי (MFA) בענן של מיקרוסופט, כגון: סיסמא ו-SMS, או סיסמא ודיסקונקי וכד' – כיוון שהחולשה גונבת את הישות הדיגיטלית שכבר אומתה על ידי המערכת, לאחר הסיסמא והאימות הדו-שלבי."

בעקבות פניית סייברארק, מיקרוסופט תיקנה את הפרצה.