Okta waarschuwt voor grote credential stuffing-aanval via residential proxies
Authenticatieplatform Okta waarschuwt klanten voor een grootschalige credential stuffing-aanval op gebruikersaccounts die afgelopen week plaatsvond en waarbij gebruik werd gemaakt van zogenoemde 'residential proxies'. Het gaat hier om proxydiensten die het verkeer van betalende klanten via de systemen en internetverbindingen van legitieme thuisgebruikers laten lopen.
Okta biedt een platform waar wereldwijd duizenden bedrijven gebruik van maken om werknemers toegang tot systemen en applicaties te geven. Criminelen voeren geregeld phishingaanvallen uit waarbij medewerkers van organisaties sms-berichten ontvangen die naar Okta-phishingsites linken. Op deze manier wordt geprobeerd om inloggegevens voor accounts te ontfutselen. Bij de nu waargenomen aanval proberen de aanvallers direct op het account van medewerkers in te loggen.
De aanvallers maken hiervoor gebruik van credential stuffing. Bij een dergelijk aanval worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.
Onlangs waarschuwde ook Cisco voor credential stuffing-aanvallen tegen ssh- en vpn-servers. Volgens Okta zijn beide aanvallen afkomstig van dezelfde infrastructuur, waarbij gebruik wordt gemaakt van het Tor-netwerk en proxydiensten. Het gaat dan specifiek om 'residential proxies'. Deze diensten maken zoals gezegd gebruik van de systemen en internetverbindingen van legitieme thuisgebruikers om het internetverkeer van betalende klanten te routeren.
Deze thuisgebruikers kunnen hun systemen bewust aanmelden bij een proxydienst en krijgen dan in ruil voor hun proxy een vergoeding. Ook komt het voor dat met malware besmette systemen onderdeel van een proxynetwerk worden gemaakt. Okta meldt dat een groot aantal mobiele telefoons onderdeel van een proxynetwerk is geworden, doordat gebruikers een app installeerden die door middel van een besmette SDK (software development kit) was gemaakt. De app-ontwikkelaars kunnen bewust de app hebben gebruikt of zijn zich niet bewuste van de aanwezige kwaadaardige code, laat Okta verder weten.
Het voordeel voor aanvallers om residential proxies te gebruiken is dat het verkeer van de credential stuffing-aanvallen afkomstig lijkt van de telefoons, computers en browsers van normale gebruikers, in plaats van de ip-adressen van VPS-providers die ook vaak door proxydiensten worden gebruikt. Okta adviseert organisaties om inlogpogingen afkomstig van residential proxies te blokkeren en multifactorauthenticatie voor accounts in te stellen. Ook heeft het bedrijf een Top 20 van netwerkproviders gegeven die door de aanvallers zijn gebruikt, waaronder Surf B.V., OVH en Akamai Connected Cloud.
Overigens klinkt "Surf B.V." erg B.V., maar daaronder vallen ook IP-reeksen van bijv. universiteiten.
In https://sec.okta.com/blockanonymizers/ wordt ASN 1101 genoemd, terwijl bijv. https://www.whatismyip.com/ip/130.161.180.1/ (na 20 jaar ken ik nog veel IP-adressen uit mijn hoofd, beroepsdeformatie vermoed ik) onder meer beschrijft:
ISP: Technische Universiteit Delft
Known Proxy: no
ASN: 1128
Organization: Surf B.V.
Die eerste regel kan ik niet helemaal plaatsen, vooral niet omdat de campus aan de andere kant van Delft ligt - maar dat google.com er vaak tientallen kilometers naast zit m.b.t. mijn woonplaats op basis van mijn -notabene vaste- thuis-IP-adres, vind ik helemaal niet erg - integendeel.
Maar dit laat wel weer mooi de potentiële onnauwkeurigheid van IP-geolocatie zien. En dus ook dat misbruikte proxies zich binnen een flinke afstand van een doelwit mogen bevinden, omdat de locatie van het doelwit zelf ook onnauwkeurig is. Als aanvaller heb je dus beslist niet in elke straat een kwaadaardige proxy nodig.
Weer een zeepbel, die verkocht werd als "fix", doorgeprikt (door een verkoper zelf ;-)
Overigens klinkt "Surf B.V." erg B.V., maar daaronder vallen ook IP-reeksen van bijv. universiteiten.
SURF heeft alle AS nummers van 1101 t/m 1200. Daar zitten allerlei netwerken op.
Sowieso vind ik het nogal goedkoop om met lijsten AS nummers te gaan strooien alsof dat de kwaadaardigen zijn.
Het nivo AS heeft meestal weinig van doen met de kwaadaardigheid van servers en diensten, en het kletsverhaaltje "nou dan had de eigenaar van die AS maar beter moeten opletten wat er in zijn netwerken gebeurt" dat is toch allang afgeserveerd?
In https://infosec.exchange/@ErikvanStraten/112348237498120336 schreef ik overigens:
• shared secret, password: FAIL
• shared secret, biometrics: FAIL
• shared secret, your phone: FAIL
• shared pubkey, FIDO2 keys: FAIL
• shared pubkey, passkeys: FAIL
• shared secret, location: FAIL
The last one: https://sec.okta.com/blockanonymizers/ (source: https://www.security.nl/posting/839626/Okta+waarschuwt+voor+grote+credential+stuffing-aanval+via+residential+proxies)
Now what?
In https://sec.okta.com/blockanonymizers/ wordt ASN 1101 genoemd, terwijl bijv. https://www.whatismyip.com/ip/130.161.180.1/ (na 20 jaar ken ik nog veel IP-adressen uit mijn hoofd, beroepsdeformatie vermoed ik) onder meer beschrijft:
ISP: Technische Universiteit Delft
Known Proxy: no
ASN: 1128
Organization: Surf B.V.
Die eerste regel kan ik niet helemaal plaatsen, vooral niet omdat de campus aan de andere kant van Delft ligt - maar dat google.com er vaak tientallen kilometers naast zit m.b.t. mijn woonplaats op basis van mijn -notabene vaste- thuis-IP-adres, vind ik helemaal niet erg - integendeel.
IP Address: 130.161.180.1
Location: Delft, South Holland, The Netherlands (NL), Europe
Network: 130.161.180.0/22
Postal Code: 2628
Approximate Approximate Latitude / Longitude* and accuracy, radius: 52.0045, 4.3728 (1000 km)
ISP: Surf
Domain: -
Connection Type: Corporate
*The coordinates are not precise and should not be used to identify a particular street address or household. To better represent a level of accuracy, you must include the Accuracy Radius (km) when displaying latitude and longitude and make it clear that the coordinates refer to a larger geographical area instead of a precise location.
IP2Location (Product: DB6, 2024-4-1): Rijswijk
ipinfo.io (Product: API, real-time): Delft
DB-IP (Product: API, real-time ): Amsterdam
IPregistry.co (Product: API, real-time): Rijswijk
IPGeolocation.io (Product: API, real-time): Delft
IPapi.co (Product: API, real-time): Amsterdam
ipbase.com (Product: API, real-time): Rijswijk
criminalip.io (Product: API, real-time): Deflt.
Leuke is ook. dat ISP of ORGANIZATION vaak verschillend is
Weer een zeepbel, die verkocht werd als "fix", doorgeprikt (door een verkoper zelf ;-)
Men kijkt eerder naar countries dan naar bijvoorbeeld, als men daar al naar kijkt.
Ik kreeg hier net ook een high risk melding door, dat deze persoon een onverwachte travel heeft, want deze persoon zat in eens in Seattle.
Je Rijswijk locatie is dus meer dan voldoende nauwkeurig voor een analyse voor veel doeleinden, want als je daarna in 4 uur in de USA zit, is er mogelijk iets aan de hand. Zeker als zijn client connection vanuit USA gedaan zou worden, maar zijn Telefoon nog op GPS in NL zou zitten. Dan is er mogelijk iets mis, en is verdere analyse noodzakelijk.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
