Depois de já ter sofrido outros ataques que colocou dados de login parcialmente critpogradados nas mãos de um hacker, o LastPass na segunda-feira disse que o mesmo atacante invadiu o computador de casa de um funcionário e obteve um cofre não criptografado disponível apenas para um punhado de desenvolvedores da empresa.
Embora uma intrusão inicial na LastPass tenha terminado em 12 de agosto, funcionários da empresa disseram que o hacker “estava ativamente engajado em uma nova série de atividades de reconhecimento, enumeração e exfiltração” (processo de extração de dados) de 12 a 26 de agosto.
No processo, o hacker foi capaz de roubar credenciais válidas de um engenheiro sênior da DevOps e acessar o conteúdo de um cofre de dados da LastPass.
Entre outras coisas, o cofre deu acesso a um ambiente de armazenamento em nuvem compartilhado que continha as chaves de criptografia para os backups do cofre do cliente armazenados nos baldes Amazon S3.
A culpa foi do Plex, como tudo aconteceu
“Isto foi conseguido visando o computador doméstico do engenheiro DevOps e explorando um pacote de software de mídia de terceiros vulneráveis, no caso o Plex, o que permitiu a capacidade de execução de código remoto e permitiu que hacker implantasse um keylogger malware”, escreveram os funcionários da LastPass.
“O hacker foi capaz de capturar a senha mestra do funcionário quando ela foi inserida
“O hacker foi capaz de capturar a senha mestra do funcionário quando ela foi inserida, após o funcionário ter se autenticado usando MFA, e obter acesso ao cofre corporativo do engenheiro “.
O engenheiro de DevOps hackeado era um dos quatro únicos funcionários da LastPass com acesso ao cofre corporativo. Uma vez em posse do cofre descriptografado, o ator da ameaça exportou as entradas, incluindo as “chaves de descriptografia necessárias para acessar os backups de produção da LastPass na AWS S3 , outros recursos de armazenamento baseados em nuvem e alguns backups de banco de dados críticos relacionados”.
Sequência de falhas e ataques
A atualização de segunda-feira vem dois meses depois que a LastPass emitiu uma atualização anterior da bomba que pela primeira vez disse que, ao contrário de afirmações anteriores, os atacantes tinham obtido dados do cofre do cliente contendo tanto dados criptografados como dados em texto puro.
A LastPass disse então que o ator da ameaça também tinha obtido uma chave de acesso ao armazenamento em nuvem e chaves de descriptografia do contêiner de armazenamento duplo, permitindo a cópia dos dados de backup do cofre do cliente a partir do contêiner de armazenamento criptografado.
Os dados de backup continham tanto dados não criptografados, como URLs de websites, como também nomes de usuários e senhas de websites, notas seguras e dados preenchidos com formulários, que tinham uma camada adicional de criptografia usando AES de 256 bits. Os novos detalhes explicam como o ator da ameaça obteve as chaves de criptografia S3.
Abandonar o navio!
Acho que nem precisa dizer isso, mas se você ainda usa o Lastpass está na hora de abandonar o navio, é bem melhor usar um app com o o Keepass e outros que tem possibilidade de funcionamento offline do que arriscar usando sistemas online como o Lastpass.
Uma alternativa interessante seria por exemplo guardado o db criptografado do lastpass em um drive remoto, com as velocidades atuais de conexão seria tranquilo carregar o drive e sincronizar dados, iremos publicar um tutorial detalhado em breve.
