Cisco a découvert fin mai avoir été victime d’une cyberattaque. Après que des pirates ont publié une liste de fichiers volés sur le dark web, la société américaine d’informatique et de réseautage a détaillé ces informations dans un article de blog daté du 10 août 2022.
„Nous n’avons trouvé aucune preuve que l’attaquant ait eu accès à des systèmes internes critiques liés au développement de produits, à la signature de code, etc.”, rassure Cisco. Pirater un compte Google pour passer des appels téléphoniques Cisco affirme que les informations d’identification de l’employé ont été compromises après que l’attaquant a pris le contrôle d’un compte Google personnel utilisé pour synchroniser les informations d’identification stockées sur le navigateur de la victime.
Les attaquants ont ensuite effectué une série d’attaques de phishing vocal.
Il s’est fait passer pour diverses organisations de confiance et a utilisé l’authentification multifacteur (MFA) pour tenter de convaincre les employés d’accepter les notifications push initiées par les attaquants. Une fois obtenu, il a pu accéder au VPN de la cible.
Les cybercriminels ont alors pris des mesures pour maintenir voire étendre l’accès à l’environnement. Cisco dit avoir révoqué l’accès, mais les attaquants ont continué à essayer de se connecter sans succès. Lien vers Lapsus$ ?
Cisco semble avoir identifié l’acteur comme un intermédiaire (Initial Access Broker (IAB)) en lien avec les groupes cybercriminels UNC2447, Lapsus$ et Yanluowang.
L’IAB obtient un accès privilégié au réseau informatique d’une entreprise et tente de le vendre à d’autres pirates. UNC2447 est un groupe à motivation financière qui utilise des rançongiciels pour cibler des entreprises en Europe et en Amérique du Nord. Yanluowang Group utilise des rançongiciels contre des entreprises américaines depuis août 2021, ajoute Bloomberg.
Enfin, le groupe Lapsus$ a été mentionné dans des attaques très médiatisées contre Okta, Microsoft, Nvidia et Samsung. La police britannique a arrêté un membre présumé du groupe Lapsus$ en mars dernier.
