O grupo de ransomware n0n publicou ficheiros de configuração de firewall e informações sobre palavras-passe e chaves associadas à Finzly, empresa de tecnologia financeira que liga bancos a redes de pagamentos. Os documentos descrevem ligações à Reserva Federal dos EUA (Fed) e regras para tráfego FedNow e FedACH. A Fed afirmou que os seus serviços de pagamento não foram afetados. A Finzly diz ter substituído chaves e credenciais e não ter encontrado indícios de comprometimento de dados de clientes bancários ou de informações de acesso aos seus sistemas.
O incidente envolve os serviços da Finzly que permitem aos bancos aceder a redes de pagamento. Não se sabe se os ficheiros divulgados ainda poderiam ser usados para entrar em sistemas. Mesmo após a alteração das credenciais, as configurações podem revelar ligações de rede que os bancos e os seus fornecedores terão de analisar.
Ficheiros revelam ligações a serviços da Reserva Federal
A plataforma BankOS, da Finzly, liga bancos a redes de pagamento como ACH, Fedwire e FedNow. Os clientes acedem a estes serviços através de uma ligação partilhada. Na semana passada, o site da empresa indicava 11 bancos e cooperativas de crédito como clientes.
Um porta-voz da Finzly afirmou que a empresa «substituiu as chaves e credenciais dos sistemas» e que, por si só, os ficheiros de configuração não permitem aceder aos sistemas ou dados da Finzly. A investigação não encontrou indícios de que dados de clientes bancários ou informações usadas para aceder aos sistemas dos clientes tenham sido comprometidos. A empresa acrescentou que as operações dos clientes não foram afetadas.
A Finzly notificou as autoridades policiais, contratou especialistas jurídicos e forenses externos e começou a contactar os clientes. Também afirmou estar a trabalhar com reguladores e clientes.
Um porta-voz da Reserva Federal disse que os serviços de pagamento da instituição não foram afetados. Os ficheiros divulgados não parecem incluir dados de clientes ou de bancos, nem registos de transações. Contudo, não foi verificado se contêm palavras-passe ou chaves que ainda estejam válidas. Comentários incluídos na configuração identificam-na como «configuração de 2023», o que sugere que poderá ser desse ano.
Na semana passada, o n0n ameaçou divulgar configurações de rede e chaves de acesso de infraestruturas de pagamento. O grupo adiou o prazo, inicialmente fixado para sexta-feira, para terça-feira à noite e publicou os ficheiros depois de esse prazo terminar. A sequência sugere que a Finzly poderá não ter pago um resgate, embora o grupo não tenha revelado o montante exigido. A empresa de inteligência de ameaças Cyfirma documentou exigências de resgate do n0n a empresas sul-coreanas entre 600 mil e 14 milhões de dólares, pagáveis em bitcoin.
Finzly não esclareceu como o dispositivo foi acedido
A Finzly afirmou que um terceiro não autorizado acedeu a um dispositivo no centro de dados de contingência da empresa, onde estavam guardadas informações de configuração. Não esclareceu se o dispositivo era o firewall em causa, quando ocorreu a intrusão ou de que forma o atacante obteve acesso.
Dos seis ficheiros publicados pelo n0n, cinco parecem corresponder a uma configuração de firewall Fortinet FortiGate. O sexto é um resumo que identifica o dispositivo como «gateway de pagamentos». Os documentos mostram uma ligação direta denominada «FED» e regras de firewall para tráfego identificado como FedNow e FedACH. O resumo indica ainda que as palavras-passe e chaves presentes na configuração foram desencriptadas a 15 de outubro.
Os firewalls guardam normalmente palavras-passe e chaves em formato encriptado. Em 2019, a Fortinet reconheceu que versões anteriores do seu software de firewall usavam a mesma chave fixa em vários dispositivos para encriptar palavras-passe nos ficheiros de configuração. Michael Tigges, analista principal de resposta tática na empresa de cibersegurança Huntress, afirmou que era «perfeitamente possível» que um atacante tivesse obtido as chaves ao desencriptar um ficheiro de configuração. Até agora, não há provas públicas que esclareçam como o n0n o terá feito.
Credenciais alteradas não eliminam toda a exposição
Mudar palavras-passe e chaves altera as credenciais de acesso, mas não modifica automaticamente as ligações de rede descritas numa configuração. Rafe Pilling, diretor sénior de investigação de ameaças na empresa de cibersegurança Sophos, observou que uma configuração antiga de firewall ainda pode indicar quais as ligações consideradas fidedignas. Os ficheiros divulgados descrevem percursos entre os sistemas na nuvem da Finzly e a Reserva Federal, podendo dar a um atacante pistas sobre a comunicação entre esses sistemas.
Waseem Ahmed, responsável de engenharia na empresa de segurança Secure.com, acrescentou que topologias de rede, endereços IP, pontos de ligação de túneis e relações de confiança tendem a mudar mais lentamente do que as palavras-passe. Mesmo que as credenciais antigas já não funcionem, um mapa de rede divulgado pode reduzir o tempo necessário para um atacante compreender o alvo.
Tigges afirmou que, no pior cenário, uma configuração de firewall exposta poderia ser usada para obter maior controlo da rede ou elevar o risco de roubo de números de conta e de dados de transações financeiras, ou de um ataque de ransomware. As informações disponíveis não permitem determinar se o n0n tentou usar as chaves para aceder aos sistemas, nem se a Finzly detetou atividade invulgar antes da tentativa de extorsão ou só tomou conhecimento do incidente depois. A empresa também não indicou se alterou as chaves antes ou depois de os ficheiros serem obtidos ou divulgados.
Bancos devem confirmar alterações e analisar registos
Denis Calderone, diretor de tecnologia da empresa de cibersegurança Suzu Labs, aconselhou os bancos afetados por uma fuga de configurações de firewall de um fornecedor a pedir confirmação de que todas as credenciais e chaves presentes nos ficheiros foram substituídas, bem como provas dessas alterações. Os bancos podem também perguntar se o fornecedor notificou a Reserva Federal.
Ahmed recomendou que os bancos identifiquem todas as ligações ao fornecedor, substituam as credenciais que controlam e coordenem com ele a emissão de novas chaves VPN, em vez de aguardarem que o fornecedor levante cada questão. Calderone aconselhou ainda a análise de registos à procura de ligações invulgares e a extensão da investigação aos meses anteriores à fuga, não apenas ao período posterior à divulgação.
Até ao momento, as informações disponíveis indicam que os ficheiros publicados não continham dados de clientes bancários nem registos de transações e que os serviços de pagamento da Reserva Federal não foram afetados. Continuam por esclarecer o momento e o método de acesso ao dispositivo no centro de dados de contingência, a data em que as chaves foram substituídas e se as ligações entre os bancos e a Finzly exigem alterações adicionais.