Хакеры снова атаковали NVIDIA, на этот раз целью стала облачная платформа разработки BREV. Пользователи сообщают о несанкционированной активности в период с 4 по 20 октября. Согласно уведомлению, отправленному пострадавшим клиентам, некоторые учетные записи могли быть скомпрометированы. Компания заявила, что провела расследование инцидента и выявила неустановленную активность на платформе, добавив, что информация, хранящаяся на платформе, могла попасть в руки злоумышленников. Упомянутая информация включала SSH-ключи, настроенные Brev. Компания уже заменила скомпрометированные SSH-ключи и обновила машины клиентов новыми, но заявила, что не обнаружила доказательств неправомерного использования. «Мы пишем, чтобы сообщить вам, что NVIDIA Corporation столкнулась с инцидентом безопасности, который мог повлиять на безопасность ваших данных», — говорится в уведомлении. «Наш анализ показал, что ваша информация из нашей сети Brev могла быть затронута. Этот SSH-ключ с тех пор был заменен, и ваши экземпляры были обновлены с использованием ключа замены». Однако компания не смогла объяснить, как злоумышленники получили доступ, или пытался ли кто-либо использовать скомпрометированные данные. Более того, она не раскрыла, был ли получен доступ к данным клиентов или рабочим нагрузкам. SSH — это протокол, используемый для установления безопасного соединения между «виртуальными машинами» или удаленными компьютерами, работающими совместно. Разработчики или системные администраторы могут использовать его для управления удаленными серверами, передачи файлов и выполнения команд без физического доступа к машине — во многом как AnyDesk или TeamViewer, но теперь для разработчиков. Brev использует SSH-ключи, чтобы помочь клиентам получить доступ к этим сервисам в облаке, что означает, что если злоумышленники получат доступ к этим ключам, они потенциально смогут взять под контроль виртуальную машину, в зависимости от ее конкретных разрешений и других средств контроля безопасности. Инцидент произошел на фоне того, как несколько компаний, предоставляющих услуги разработки ИИ и облачную инфраструктуру, сталкиваются с растущим числом инцидентов безопасности, связанных с учетными данными клиентов. 30 октября фирма по кибербезопасности Wiz опубликовала в своем блоге статью под названием «Черный октябрь» для платформ разработки ИИ. Фирма выявила по меньшей мере девять платформ, которые имели инциденты безопасности в течение месяца, включая Zeabur, Fireworks AI, Lightning AI, Opencode, Warp, Northflank и другие. Согласно фирме, инциденты были повторяющимися, причем исследователи отметили, что «все публичные отчеты подчеркивают целенаправленную эксплуатацию, явно охотясь за сохраненными переменными среды, с акцентом на те, которым предоставлен доступ к ИИ». Wiz также поделилась двумя случаями компрометации учетных данных Amazon Bedrock, где в одном случае злоумышленники сгенерировали около 800 000 вызовов API за 30 часов, а другой ключ использовался для выполнения примерно 1,7 миллиона вызовов за 13 часов. Совокупное использование обошлось в ошеломляющие 100 000 долларов США по прейскурантным ценам. Подобные инциденты не ограничиваются NVIDIA: крупные американские банки, включая JP Morgan, Morgan Stanley и Bank of America, ранее в этом месяце ограничили доступ агентов к учетным записям клиентов. Их основная обеспокоенность заключается в том, что автоматизированные помощники могут отклониться от заданных инструкций и инициировать несанкционированные утверждения. Аналогичным образом, хакерская группа CyberCartel ранее использовала инструмент ИИ Claude от Anthropic и XAI от Grok для проведения атак на более чем 400 латиноамериканских учреждений, в основном нацеливаясь на банки и сервисы мобильных платежей после того, как злоумышленники получили учетные данные для входа клиентов. Атаки, связанные с Китаем, также обвиняются в использовании агентов ИИ в атаке на цепочку поставок ConnectWise, в результате которой было скомпрометировано около 2250 клиентов Microsoft 365, причем некоторые атаки, по сообщениям, достигли привилегированного доступа менее чем за три часа. Хотя обновление скомпрометированного программного обеспечения может быть недостаточно для устранения доступа злоумышленника, Брэдфорд Регески, аналитик по угрозам в RH-ISAC, рекомендовал провести обширные проверки для клиентов в инцидентах, связанных с SSH, попросив пользователей «изолировать хосты, установившие скомпрометированное расширение в течение окна воздействия», удалить несанкционированные SSH-ключи и механизмы сохранения, а также ротировать учетные данные и сеансы.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Newton Gitonga
