O hacker ‘NullBulge’ ομολόγησε ότι έκλεψε δεδομένα από τη Disney (Slack)

Ένας hacker από την Καλιφόρνια, που χρησιμοποιούσε το ψευδώνυμο “NullBulge“, παραδέχτηκε ότι απέκτησε παράνομη πρόσβαση στα εσωτερικά κανάλια Slack της εταιρείας Disney και ότι έκλεψε εμπιστευτικά εταιρικά αρχεία (άνω των 1,1 terabyte).

Το Υπουργείο Δικαιοσύνης των Ηνωμένων Πολιτειών ανέφερε ότι ο 25χρονος Ryan Kramer είχε αναπτύξει ένα πρόγραμμα, που παρουσιαζόταν ψευδώς ως εργαλείο τεχνητής νοημοσύνης για δημιουργία εικόνων και προωθούνταν σε πλατφόρμες όπως το GitHub. Στην πραγματικότητα, το λογισμικό αυτό περιείχε κακόβουλο κώδικα που επέτρεπε στον Kramer να αποκτά απομακρυσμένη πρόσβαση σε υπολογιστές χρηστών που το εγκαθιστούσαν. Στόχος του ήταν η υποκλοπή δεδομένων και κωδικών πρόσβασης.

Advertisement

Σύμφωνα με τη Wall Street Journal, ανάμεσα στους χρήστες που εγκατέστησαν το πρόγραμμα ήταν και ένας υπάλληλος της Disney, ονόματι Matthew Van Andel. Εκτελώντας την εφαρμογή στον υπολογιστή του, χωρίς να το γνωρίζει, επέτρεψε στον Kramer να έχει πρόσβαση σε αρχεία και αποθηκευμένους κωδικούς από τον διαχειριστή 1Password.

Δείτε επίσης: Γαλλία: Κατηγορεί τους Ρώσους hackers APT28 για επιθέσεις στη χώρα

Με τα διαπιστευτήρια του Van Andel, ο Kramer κατάφερε να εισέλθει στα εσωτερικά κανάλια επικοινωνίας Slack της Disney και να κατεβάσει 1,1 terabyte εσωτερικών πληροφοριών.

Όπως αναφέρει στην ομολογία του, ο hacker χρησιμοποίησε τον λογαριασμό του M.V. στο Slack της Disney και γύρω στον Μάιο του 2024 έκλεψε χιλιάδες δεδομένα.

Το Υπουργείο Δικαιοσύνης αναφέρει ότι ο Kramer επικοινώνησε αργότερα με τον Van Andel, προσποιούμενος πως ήταν μέλος μιας ρωσικής ομάδας χακτιβιστών με την ονομασία “NullBulge” και απειλώντας πως θα αποκαλύψει τα προσωπικά του στοιχεία και τα δεδομένα της Disney που είχε υποκλέψει, σε περίπτωση που δεν συνεργαζόταν.

Δεν υπήρξε καμία ανταπόκριση από τη μεριά του υπαλλήλου και έτσι ο Kramer (χρησιμοποιώντας το ψευδώνυμο NullBulge), δημοσίευσε στις 12 Ιουλίου 2024 ένα μήνυμα στο φόρουμ BreachForums με τίτλο «DISNEY INTERNAL SLACK». Στο μήνυμα έλεγε ότι είχε χακάρει τη Disney και είχε διαρρεύσει 1,1 terabytes δεδομένων, μεταξύ αυτών και προσωπικά στοιχεία του Van Andel.

Συγκεκριμένα, η ανάρτηση ανέφερε: «1,1 TiB δεδομένων. Σχεδόν 10.000 κανάλια, κάθε πιθανό μήνυμα και αρχείο βρίσκονται εδώ. Ακυκλοφόρητα πρότζεκτ, ακατέργαστες εικόνες και πηγαίος κώδικας, μερικά credentials, σύνδεσμοι προς api/ web pages, και πολλά άλλα! Καλή διασκέδαση με το υλικό — έχει πολύ ενδιαφέρον περιεχόμενο».

Δείτε επίσης: Hackers αναλαμβάνουν την ευθύνη για το blackout στην Ισπανία

Ο Kramer παραδέχτηκε την ενοχή του για δύο αδικήματα: μη εξουσιοδοτημένη πρόσβαση σε υπολογιστή με σκοπό την απόσπαση πληροφοριών και απειλή καταστροφής προστατευμένου συστήματος. Κάθε κατηγορία επιφέρει ποινή φυλάκισης έως και πέντε χρόνια.

Επίσης, επιβεβαίωσε πως τουλάχιστον δύο ακόμα άτομα είχαν εγκαταστήσει το κακόβουλο λογισμικό του, δίνοντάς του έτσι πρόσβαση και στους δικούς τους υπολογιστές. Το FBI διερευνά τώρα τις υποθέσεις αυτών των ατόμων.

Η πρώτη του εμφάνιση στο ομοσπονδιακό δικαστήριο στο Λος Άντζελες αναμένεται μέσα στις επόμενες εβδομάδες.

Πρόκειται για μια πολύ σοβαρή υπόθεση κυβερνοεγκλήματος, που φανερώνει πόσο επικίνδυνος μπορεί να γίνει ο συνδυασμός κοινωνικής μηχανικής, κακόβουλου λογισμικού και ανεπαρκών μέτρων ασφαλείας από πλευράς χρηστών. Ο Kramer δεν επιτέθηκε με “παραδοσιακές” μεθόδους hacking· αντίθετα, εκμεταλλεύτηκε την εμπιστοσύνη και την περιέργεια των χρηστών, παρουσιάζοντας το malware του ως εργαλείο τεχνητής νοημοσύνης.

Το πιο ανησυχητικό στοιχείο είναι το πόσο εύκολα κατάφερε να αποκτήσει πρόσβαση σε εσωτερικές υποδομές μιας τεράστιας εταιρείας όπως η Disney, και στη συνέχεια να προβεί σε εκβιασμό. Αυτό υπογραμμίζει την ανάγκη για αυστηρότερους ελέγχους ασφαλείας στους εταιρικούς υπολογιστές και μεγαλύτερη εκπαίδευση προσωπικού σχετικά με τις κυβερνοαπειλές.

Δείτε επίσης: Hackers στοχεύουν την υποδομή και πελάτες της SentinelOne

Επίσης, η δημοσιοποίηση των δεδομένων σε hacking φόρουμ δείχνει ότι τέτοιες επιθέσεις δεν έχουν μόνο στόχο το οικονομικό όφελος, αλλά και τη δημόσια έκθεση ή την πρόκληση αναστάτωσης.

Γενικά, είναι μια υπόθεση που αποκαλύπτει πόσο λεπτές είναι οι ισορροπίες ανάμεσα στην τεχνολογική πρόοδο και την κυβερνοασφάλεια.

Πηγή: www.bleepingcomputer.com