Chainstack affirme qu’un attaquant utilisant un framework d’agents d’IA s’est introduit par un tableau de bord de test resté sur ses identifiants par défaut et a exposé les hachages de mots de passe de clients

Un tableau de bord de test resté sur ses identifiants par défaut a ouvert la porte. Chainstack, qui exploite des nœuds blockchain et des API pour les développeurs, indique qu’un attaquant est resté dans ses systèmes pendant près de cinq jours avant d’être détecté le mois dernier. L’intrus a également atteint des données de comptes clients, selon le rapport d’incident de l’entreprise, mis à jour les 10 et 11 novembre. The Block a rapporté ces conclusions jeudi.

Le point d’entrée était une instance de supervision Grafana située dans un cluster de développement, accessible depuis Internet, sans authentification unique en amont et utilisant toujours ses identifiants administrateur par défaut. De là, l’attaquant a atteint un serveur d’outils interne doté de larges permissions et a volé des identifiants machine qui fonctionnaient aussi en production. Chainstack dit n’avoir trouvé aucune preuve de l’exploitation d’une vulnérabilité logicielle. L’attaquant s’est introduit le 26 octobre, a atteint la production le 29 octobre et a été détecté le 31 octobre, lorsqu’une clé VPN compromise a perturbé la réplication de la base de données. Certains identifiants copiés ont continué de fonctionner jusqu’à leur renouvellement ; la dernière utilisation observée remonte au 2 novembre.

Les données exposées comprennent des noms d’organisations, des noms de titulaires de comptes, les adresses e-mail des membres et des hachages de mots de passe. Chainstack n’a trouvé aucun signe que les identifiants de nœuds aient été lus, mais les considère comme exposés et demande à ses clients de les renouveler, de changer leurs mots de passe et de régénérer les clés d’API de la plateforme. L’entreprise déclare : « Les nœuds des clients, la console et l’API n’ont pas été modifiés. » Chainstack n’a pas précisé combien de clients étaient concernés et informe l’ensemble de ses clients par e-mail. Elle estime avec un degré de confiance élevé que l’attaquant a utilisé ARTEX, un outil que des informations publiques ont associé à plusieurs groupes sans lien entre eux, et ne nomme donc pas l’attaquant.