Ο δανικός όμιλος ναυτιλίας και εφοδιαστικής αλυσίδας A.P. Moller-Maersk επιβεβαίωσε στις 11 Νοεμβρίου ότι ένας κακόβουλος παράγοντας απέκτησε μη εξουσιοδοτημένη πρόσβαση σε παλαιό σύστημα πληροφορικής που κληρονομήθηκε από προηγούμενη εξαγορά και εξήγαγε δεδομένα από αυτό, σύμφωνα με ανακοίνωση ασφαλείας της εταιρείας. Η αποκάλυψη ακολούθησε ισχυρισμούς συμμορίας ransomware με την ονομασία WhiteArmor, η οποία κατέγραψε τη Maersk στον ιστότοπο διαρροής δεδομένων της στο dark web και απείλησε να δημοσιεύσει το κλεμμένο υλικό αν δεν πληρωθεί.
Η WhiteArmor πρόσθεσε τη Maersk στον ιστότοπο εκβιασμού της το Σαββατοκύριακο 7-8 Νοεμβρίου, απαιτώντας 5 εκατομμύρια δολάρια σε bitcoin εντός 30 ημερών και ισχυριζόμενη ότι έκλεψε περίπου 100 gigabyte δεδομένων από την πλατφόρμα OCF και LF Logistics της εταιρείας. Η Maersk δήλωσε ότι η έρευνά της μέχρι στιγμής υποδεικνύει πως το περιστατικό περιορίζεται στο συγκεκριμένο παλαιό σύστημα, χωρίς ενδείξεις επίπτωσης στο ευρύτερο εταιρικό δίκτυό της ή σε συστήματα πελατών και συνεργατών που συνδέονται μέσω ενσωματώσεων API και EDI.
Η Παραβίαση Εντοπίζεται σε Εξαγορασμένη Πλατφόρμα Εφοδιαστικής
Το σύστημα που παραβιάστηκε ανήκε σε εταιρεία εφοδιαστικής αλυσίδας με σύμβαση την οποία είχε εξαγοράσει προηγουμένως η Maersk, και όχι στις βασικές δραστηριότητες μεταφοράς εμπορευματοκιβωτίων ή διαχείρισης τερματικών του ομίλου. Η Maersk δεν έχει αποκαλύψει πότε ξεκίνησε η εισβολή ούτε έχει περιγράψει με λεπτομέρεια τη φύση των δεδομένων που παραβιάστηκαν, επιβεβαιώνοντας μόνο ότι τρίτος απέκτησε μη εξουσιοδοτημένη πρόσβαση και εξήγαγε δεδομένα από την πλατφόρμα.
Η Maersk δήλωσε ότι τα προκαταρκτικά ευρήματα υποδεικνύουν έντονα πως δεν έχουν δημοσιοποιηθεί ευαίσθητα δεδομένα, και η εταιρεία ανέφερε ότι δεν υπάρχουν ενδείξεις επίπτωσης σε άλλα συστήματα της Maersk ή σε εκείνα πελατών και συνεργατών που συνδέονται μέσω ενσωματώσεων όπως API και ηλεκτρονική ανταλλαγή δεδομένων (EDI). Η εταιρεία συνεχίζει να διερευνά την έκταση της εισβολής και την εγκυρότητα των ισχυρισμών των επιτιθέμενων σχετικά με τα δεδομένα.
Η Συμμορία Ransomware WhiteArmor Θέτει τις Απαιτήσεις της
Η συμμορία ransomware WhiteArmor κατέγραψε τη Maersk στον ιστότοπο διαρροής της και απαίτησε δημόσια 5 εκατομμύρια δολάρια σε bitcoin, δίνοντας στην εταιρεία προθεσμία 30 ημερών για απάντηση. Η ομάδα ισχυρίστηκε ότι κατέχει περίπου 100GB δεδομένων που εξήγαγε από την πλατφόρμα OCF και LF Logistics της Maersk, χρησιμοποιώντας το ποσό για να ασκήσει πίεση, συγκρίνοντας την απαίτηση λύτρων με ένα κλάσμα των κερδών λίγων ωρών της εταιρείας.
Η WhiteArmor ισχυρίστηκε επίσης ότι απέκτησε πάνω από 16.000 κωδικούς πρόσβασης οδηγών της Maersk, υποτίθεται αποθηκευμένους σε απλό κείμενο. Η Maersk διαφώνησε με αυτόν τον χαρακτηρισμό, δηλώνοντας στους δημοσιογράφους ότι οι κωδικοί πρόσβασης για το σύστημα διατηρούνται σε προστατευμένη μορφή και ότι τα στοιχεία που πράγματι κλάπηκαν ήταν κωδικοί μίας χρήσης που έχουν πλέον λήξει, υπονομεύοντας μέρος της αφήγησης εκβιασμού της συμμορίας.
Ένα Πιο Περιορισμένο Περιστατικό από την Κρίση NotPetya του 2017
Η αποκάλυψη αναπόφευκτα προκαλεί σύγκριση με την επίθεση ransomware NotPetya του 2017 στη Maersk, η οποία παρέλυσε τα παγκόσμια συστήματα πληροφορικής και τις λειτουργίες μεταφοράς εμπορευματοκιβωτίων της εταιρείας για ημέρες και κόστισε εκατοντάδες εκατομμύρια δολάρια σε αποκατάσταση. Σε αντίθεση με εκείνο το επεισόδιο, το τρέχον περιστατικό περιγράφεται ως γεγονός μη εξουσιοδοτημένης πρόσβασης και εξαγωγής δεδομένων περιορισμένο σε μία κληρονομημένη παλαιά πλατφόρμα, με τη Maersk να δηλώνει ότι δεν αναμένει διατάραξη στις λειτουργίες που αφορούν τους πελάτες.
Ερευνητές ασφαλείας επισήμαναν την παραβίαση ως υπενθύμιση ότι τα συστήματα που απορροφώνται μέσω εξαγορών συχνά παραμένουν χαλαρά ενσωματωμένα στην αρχιτεκτονική ασφαλείας της μητρικής εταιρείας, δημιουργώντας σημεία εισόδου που οι επιτιθέμενοι μπορούν να εκμεταλλευτούν πολύ καιρό μετά το κλείσιμο μιας συμφωνίας. Η Maersk δεν έχει διευκρινίσει αν σκοπεύει να πληρώσει τα λύτρα, και η προθεσμία 30 ημερών της ομάδας WhiteArmor για πληρωμή δεν είχε ακόμη λήξει σύμφωνα με τα πιο πρόσφατα δημοσιεύματα.
Γιατί έχει σημασία
Το περιστατικό υπογραμμίζει την αυξανόμενη έκθεση των παγκόσμιων δικτύων εφοδιαστικής αλυσίδας σε εκβιασμούς ransomware, ακόμη και όταν οι επιτιθέμενοι στοχεύουν ένα περιορισμένο, απομονωμένο σύστημα και όχι τον βασικό επιχειρησιακό εξοπλισμό. Η Maersk διαχειρίζεται σημαντικό μερίδιο του παγκόσμιου εμπορίου εμπορευματοκιβωτίων, και οποιαδήποτε διάβρωση της εμπιστοσύνης στην ασφάλεια δεδομένων της θα μπορούσε να επηρεάσει ναυλωτές, μεταφορείς και συνεργάτες λιμένων που βασίζονται στις ψηφιακές της ενσωματώσεις. Η υπόθεση αναβιώνει επίσης μνήμες από την επίθεση NotPetya του 2017, η οποία κατέδειξε πόσο βαθιά μπορεί ένα μεμονωμένο κυβερνοπεριστατικό να διαταράξει τις ναυτιλιακές εφοδιαστικές αλυσίδες, διατηρώντας την κυβερνοασφάλεια ψηλά στην ατζέντα για ναυτιλιακές εταιρείες που διαχειρίζονται σύνθετα, βασισμένα σε εξαγορές συστήματα πληροφορικής.
Πηγή: BleepingComputer
