UBER se fait Pirater !

Victime de chantage, un employé d’UBER a permis à un hacker d’accéder aux comptes AWS, Slack et Google de l’entreprise américaine.

Ce 16 septembre 2022, UBER a reconnu avoir été victime d’un incident de sécurité. Le géant des transports enquête actuellement sur une cyberattaque, suite à une intrusion sur le réseau, plusieurs instances utilisées par l’entreprise ont donc été compromises. UBER a annoncé sur Twitter qu’ils travaillaient avec les forces de l’ordre pour résoudre le problème. En effet, Les systèmes internes compromis de l’entreprise ont été mis hors ligne pour contenir et enquêter d’avantage sur l’incident détecté. Selon deux employés d’Uber, Slack, la plateforme de messagerie interne de l’entreprise, a également été interdite d’utilisation.

Que s’est-il passé ?

Tout d’abord l’attaque a commencé par une campagne d’ingénierie sociale sur les employés d’Uber, qui a donné accès à un VPN, donnant à son tour accès au réseau interne d’Uber *.corp.uber.com.

Ensuite, une fois sur le réseau, l’attaquant a trouvé des scripts PowerShell, dont l’un contenait des informations d’identification codées en dur pour un compte d’administrateur de domaine pour Thycotic, la solution de gestion des accès privilégiés (PAM) d’Uber.

Grâce à l’accès administrateur, l’attaquant a pu se connecter et prendre en charge plusieurs services et outils internes utilisés chez Uber : AWS, GCP, Google Drive, l’espace de travail Slack, SentinelOne, la console d’administration HackerOne, les tableaux de bord internes des employés d’Uber et quelques référentiels de code. Le pirate a fourni des captures d’écran d’emails, du cloud et de répertoires comme preuves. Selon un représentant d’Uber, le pirate a accédé au compte Slack d’un travailleur et l’a utilisé pour envoyer le message. Les employés d’Uber ont reçu un message disant « J’annonce que je suis un hacker et qu’Uber a subi une violation de données« , juste avant la fermeture du système Slack. Le message continuait en énumérant plusieurs bases de données internes qui, selon le hacker, avaient été exposées.

L’acteur de la menace en question a affirmé avoir 18 ans et avoir passé plusieurs années sur ses compétences en cybersécurité, et a admis au New York Times avoir utilisé des techniques d’ingénierie sociale et s’être présenté comme un expert en informatique pour obtenir le mot de passe d’un employé.

Selon lui, la mauvaise sécurité de l’entreprise a permis le piratage. Il a ajouté que les chauffeurs Uber devraient être mieux payés.

Le panneau d’administration d’Uber HackerOne a également été compromis

Selon Sam Curry, spécialiste de la sécurité chez Yuga Labs, Le pirate a également pu accéder au système Hacker One, un programme de bug bounty où sont répertoriées et détaillées les vulnérabilités découvertes par des experts en cybersécurité.

Toutefois, si les rapports de vulnérabilité de l’entreprise et d’éventuelles informations sur les failles non corrigées sont volés, cela peut poser un plus grand risque. Étant donné que les rapports de menace HackerOne compromis peuvent avoir été téléchargés par le pirate informatique, il existe un risque qu’ils soient vendus avec d’autres données volées et exploités par d’autres acteurs de la menace.