Chainstack dice que un atacante que usaba un framework de agentes de IA entró a través de un panel de pruebas que conservaba su inicio de sesión predeterminado y expuso hashes de contraseñas de clientes

Un panel de pruebas que conservaba su inicio de sesión predeterminado abrió la puerta. Chainstack, que opera nodos y API de blockchain para desarrolladores, dice que un atacante estuvo dentro de sus sistemas durante casi cinco días antes de ser detectado el mes pasado. El intruso también llegó a datos de cuentas de clientes, según el informe del incidente de la empresa, que esta actualizó el 10 y el 11 de noviembre. The Block informó de las conclusiones el jueves.

El punto de entrada fue una instancia de monitoreo de Grafana en un clúster de desarrollo que era accesible desde internet, no tenía inicio de sesión único por delante y seguía usando sus credenciales de administrador predeterminadas. Desde allí el atacante llegó a un servidor de herramientas interno con amplios permisos y robó credenciales de máquina que también funcionaban en producción. Chainstack dice que no encontró pruebas de que se explotara una vulnerabilidad de software. El atacante entró el 26 de octubre, llegó a producción el 29 de octubre y fue detectado el 31 de octubre, cuando una clave VPN comprometida interrumpió la replicación de la base de datos. Algunas credenciales copiadas siguieron funcionando hasta que fueron rotadas; el último uso observado fue el 2 de noviembre.

Entre los datos expuestos figuran nombres de organizaciones, nombres de titulares de cuentas, direcciones de correo electrónico de los miembros y hashes de contraseñas. Chainstack no encontró indicios de que se leyeran las credenciales de los nodos, pero las trata como expuestas y pide a los clientes que las roten, cambien sus contraseñas y regeneren las claves API de la plataforma. Afirma: "Los nodos de los clientes, la consola y la API no fueron modificados". Chainstack no ha dicho cuántos clientes se vieron afectados y está notificando a todos los clientes por correo electrónico. Evalúa con un alto grado de confianza que el atacante usó ARTEX, una herramienta que informes públicos han vinculado a varios grupos sin relación entre sí, por lo que no nombra al atacante.