Microsoft cảnh báo chuỗi xâm nhập qua Azure DevOps và Kubernetes
"Microsoft describes an intrusion by Storm-3068 that began with compromise of a user account via self-service password reset and registration of attacker-controlled authentication methods. The threat actor then abused Azure DevOps pipelines to enumerate repositories and deployment resources, harvest Kubernetes credentials, and attempt remote access using tools such as Atera and Chisel; Microsoft DART responded by investigating, disrupting access, and helping the customer contain and remediate the incident."
Tác động cao do chiếm quyền danh tính, lạm dụng pipeline tin cậy và mở rộng sang Kubernetes/cloud infrastructure.
Có thể ảnh hưởng đến môi trường phát triển, quy trình triển khai và khả năng truy cập hệ thống sản xuất, làm tăng chi phí điều tra và khắc phục.
Microsoft mô tả một vụ xâm nhập do Storm-3068 thực hiện, bắt đầu từ việc chiếm quyền một tài khoản người dùng qua self-service password reset và đăng ký các phương thức xác thực do kẻ tấn công kiểm soát. Từ đó, đối tượng này mở rộng sang Azure DevOps, rà soát repositories, pipelines và tài nguyên triển khai để tìm đường vào hạ tầng đám mây liên kết.
Theo báo cáo, thay vì dùng mã độc hay khai thác lỗ hổng phần mềm, kẻ tấn công lạm dụng các dịch vụ hợp lệ để duy trì truy cập và thu thập thông tin. Một pipeline độc hại đã được tạo để lấy Kubernetes credentials ở quy mô lớn, bao gồm các tệp kubeconfig chứa thông tin kết nối và xác thực cụm. Microsoft cho biết pipeline này có quyền truy cập hơn 50 tài nguyên. Ngoài ra, các script pipeline còn bị sửa để cài Atera và tải Chisel nhằm hỗ trợ truy cập từ xa và thiết lập reverse tunnel.
Microsoft DART đã điều tra, làm gián đoạn quyền truy cập của đối tượng và phối hợp với khách hàng để containment và remediation. Khuyến nghị kỹ thuật là siết chặt MFA, giám sát thay đổi trong Azure DevOps, kiểm tra quyền của pipeline, và rà soát việc lưu trữ kubeconfig cùng các bí mật triển khai.