Kumpulan perisian tebusan n0n mendedahkan fail konfigurasi, kata laluan dan maklumat kunci bagi sebuah firewall milik syarikat teknologi kewangan Finzly. Dokumen itu menunjukkan sambungan ke infrastruktur pembayaran yang digunakan pelanggan Finzly, termasuk sambungan ke Federal Reserve serta peraturan untuk trafik FedNow dan FedACH. Federal Reserve berkata perkhidmatan pembayarannya tidak terjejas, manakala Finzly menyatakan kunci sistem dan kelayakan akses telah ditukar serta setakat ini tiada bukti data pelanggan bank atau maklumat akses ke sistem mereka terdedah.
Insiden ini melibatkan perkhidmatan Finzly yang menghubungkan bank kepada rangkaian pembayaran. Belum diketahui sama ada fail yang bocor masih boleh digunakan untuk mengakses sistem. Namun, maklumat konfigurasi itu boleh mendedahkan laluan dan hubungan antara rangkaian, sekali gus menimbulkan persoalan keselamatan yang perlu dinilai bank dan pembekal perkhidmatan walaupun kelayakan akses telah ditukar.
Fail menunjukkan sambungan ke Federal Reserve
Platform BankOS Finzly menghubungkan bank kepada rangkaian pembayaran seperti ACH, Fedwire dan FedNow. Pelanggan menggunakan perkhidmatan tersebut melalui sambungan yang dikongsi. Laman web syarikat menyenaraikan 11 pelanggan bank dan kesatuan kredit pada minggu lalu.
Jurucakap Finzly berkata syarikat telah “menukar kunci sistem dan kelayakan akses”. Beliau menambah, fail konfigurasi yang bocor sahaja tidak membolehkan pihak luar memasuki sistem atau data Finzly. Siasatan setakat ini tidak menemukan bukti bahawa data pelanggan bank atau maklumat akses ke sistem mereka terjejas, dan operasi pelanggan tidak terganggu.
Finzly telah memaklumkan pihak penguat kuasa, melantik pakar undang-undang dan forensik luar, serta mula berhubung dengan pelanggan. Syarikat berkata ia bekerjasama dengan pelanggan dan pengawal selia.
Jurucakap Federal Reserve mengesahkan perkhidmatan pembayaran bank pusat itu tidak terjejas. Dokumen yang didedahkan tidak menunjukkan data pelanggan, data bank atau rekod transaksi. Bagaimanapun, belum ada ujian untuk menentukan sama ada fail itu mengandungi kata laluan atau kunci yang masih sah. Catatan dalam konfigurasi melabelkannya sebagai “2023 config”, menandakan fail itu mungkin disediakan pada 2023.
Minggu lalu, n0n mengancam untuk mendedahkan konfigurasi rangkaian dan kunci akses infrastruktur pembayaran. Kumpulan itu melanjutkan tarikh akhir daripada Jumaat kepada malam Selasa sebelum menerbitkan fail berkenaan. Tindakan itu menunjukkan Finzly mungkin tidak membayar wang tebusan, tetapi n0n tidak mendedahkan jumlah yang diminta. Firma risikan ancaman siber Cyfirma pernah merekodkan tuntutan tebusan n0n terhadap syarikat Korea Selatan antara AS$600,000 hingga AS$14 juta, dibayar dalam bitcoin.
Peranti yang diceroboh dan sumber kunci belum diketahui
Finzly berkata pihak ketiga tanpa kebenaran mengakses sebuah peranti di pusat data sandarannya yang menyimpan maklumat konfigurasi. Syarikat belum menjelaskan sama ada peranti itu ialah firewall yang terlibat, bila pencerobohan berlaku atau bagaimana penyerang mendapat akses.
Daripada enam fail yang diterbitkan n0n, lima kelihatan membentuk konfigurasi sebuah firewall Fortinet FortiGate. Satu lagi ialah ringkasan konfigurasi yang merujuk kepada peranti itu sebagai “payment gateway”. Fail tersebut menyenaraikan sambungan terus bernama “FED”, selain peraturan firewall untuk trafik FedNow dan FedACH. Ringkasan itu turut menyatakan kata laluan dan kunci dalam konfigurasi telah dinyahsulit pada 15 Oktober.
Firewall lazimnya menyimpan kata laluan dan kunci dalam bentuk yang disulitkan. Fortinet mengakui pada 2019 bahawa versi perisian firewall terdahulu menggunakan kunci tetap berkod keras yang sama pada setiap peranti untuk menyulitkan kata laluan dalam fail konfigurasi.
Michael Tigges, penganalisis kanan tindak balas taktikal di firma keselamatan siber Huntress, berkata penyerang “sememangnya boleh” memperoleh kunci dengan menyahsulit fail konfigurasi. Namun, tiada bukti yang diketahui umum tentang kaedah khusus yang digunakan n0n.
Kelayakan baharu tidak menghapuskan pendedahan rangkaian
Menukar kata laluan dan kunci mengubah kelayakan untuk mengakses sistem, tetapi tidak dengan sendirinya mengubah peta sambungan rangkaian. Rafe Pilling, pengarah kanan penyelidikan ancaman di Sophos, berkata konfigurasi firewall lama masih boleh menunjukkan sambungan yang dipercayai. Fail yang bocor itu memaparkan laluan ke sistem awan Finzly dan Federal Reserve, sekali gus memberi gambaran tentang cara sistem berbeza berkomunikasi.
Waseem Ahmed, ketua kejuruteraan di firma keselamatan Secure.com, berkata perubahan pada susun atur rangkaian, alamat IP, titik akhir terowong dan hubungan kepercayaan lazimnya mengambil masa lebih lama berbanding pertukaran kata laluan. Oleh itu, walaupun kelayakan lama tidak lagi sah, peta rangkaian yang terdedah masih boleh membantu penyerang memahami sasaran dengan lebih cepat.
Tigges berkata dalam senario paling buruk, konfigurasi firewall yang bocor boleh digunakan untuk mendapatkan kawalan lebih luas terhadap rangkaian. Ia juga mungkin meningkatkan risiko nombor akaun, transaksi kewangan atau data lain dicuri, atau sistem diserang dengan perisian tebusan. Namun, maklumat yang tersedia tidak menunjukkan sama ada n0n cuba menggunakan kunci itu untuk mengakses sistem, atau sama ada Finzly mengesan aktiviti mencurigakan sebelum ancaman tebusan bermula. Syarikat juga belum menyatakan sama ada kunci ditukar sebelum fail diperoleh penyerang atau selepas ia diterbitkan.
Bank diminta menyemak pertukaran kunci dan log akses
Denis Calderone, ketua pegawai teknologi di firma keselamatan siber Suzu Labs, menyarankan bank yang terjejas meminta pembekal mengesahkan bahawa setiap kelayakan dan kunci dalam fail telah ditukar, berserta bukti pengesahan. Bank juga boleh bertanya sama ada pembekal sudah memaklumkan Federal Reserve.
Ahmed menyarankan bank menyemak semua sambungan dengan pembekal, menukar kelayakan yang dikawal oleh pihak bank dan berbincang dengan pembekal untuk menetapkan kunci VPN baharu tanpa menunggu permintaan khusus. Calderone turut mengesyorkan semakan log bagi mengesan sambungan luar biasa, dengan tempoh pemeriksaan meliputi beberapa bulan sebelum kebocoran, bukan hanya rekod selepas insiden didedahkan.
Setakat ini, fail yang diterbitkan tidak menunjukkan data pelanggan bank atau rekod transaksi, dan perkhidmatan pembayaran Federal Reserve tidak terjejas. Perkara yang masih belum diperjelas termasuk bila dan bagaimana penyerang mengakses peranti di pusat data sandaran, masa sebenar kunci ditukar, serta sama ada sambungan antara bank dengan pembekal perlu diubah lagi.