Bir Hackerone çalışanı, Bug Bounty platformu aracılığıyla gönderilen güvenlik açığı raporlarını çaldı ve finansal ödüller talep etmek için etkilenen müşterilere açıkladı.
Şirket Cuma günü yaptığı açıklamada, haydut işçi yaklaşık yarım düzine hackerone müşteriyle temasa geçti ve “bir avuç açıklamada” ödül topladı.
HackerOne, güvenlik raporlarını gönderen Bug Hunter için güvenlik açığı açıklamalarını koordine etmek ve parasal ödülleri ara vermek için bir platformdur.
22 Haziran'da Hackerone, bir müşteri talebine, “RZLR” kullanıcısı kullanan birinden platform dışı iletişim kanalı aracılığıyla şüpheli bir güvenlik açığı açıklamasını araştırmak için yanıt verdi.
Müşteri, aynı güvenlik sorununun daha önce Hackerone aracılığıyla gönderildiğini fark etmişti.
Birden fazla araştırmacının aynı güvenlik sorununu bulduğu ve rapor ettiği hata çarpışmaları sıktır; Bu durumda, gerçek rapor ve tehdit oyuncusu olan rapor, daha yakından bakmaya neden olan bariz benzerlikleri paylaştı.
HackerOne’un soruşturması, 4 Nisan - 23 Haziran'a kadar şirkete katıldıkları için çalışanlarından birinin platforma iki aydan fazla bir süredir erişimi olduğunu belirledi ve sistemi aracılığıyla açıklanan güvenlik açıklarını bildirmek için yedi şirketle temasa geçti.
Şirket, Rogue çalışanının sundukları bazı raporlar için ödül aldığını söyledi. Bu, HackerOne'un para izini takip etmesine ve faili, “çok sayıda müşteri programı” için güvenlik açığı açıklamalarını tetikleyen işçilerinden biri olarak tanımlamasına izin verdi.
“Tehdit oyuncusu bir hackerone çorap hesabı oluşturdu ve bir avuç açıklamada ödül aldı. Bu ödülleri muhtemel olarak tanımladıktan sonra, Hackerone, ek bilgi sağlamak için bizimle işbirliği içinde çalışan ilgili ödeme sağlayıcılarına ulaştı ” -Hackerone
Tehdit oyuncunun ağ trafiğini analiz etmek, birincil ve çorap hesaplarını hackerone ile ilişkilendiren daha fazla kanıt ortaya koydu.
Soruşturmaya başladıktan 24 saatten kısa bir süre sonra, Bug Bounty platformu tehdit oyuncusunu tanımladı, sistem erişimini feshetti ve soruşturmayı bekleyen dizüstü bilgisayarlarını uzaktan kilitledi.
Önümüzdeki birkaç gün boyunca Hackerone, şüphelinin bilgisayarının uzak adli adli görüntüleme ve analizini yaptı ve tehdit oyuncunun etkileşime girdiği tüm hata ödül programlarını belirlemek için bu çalışanın veri erişim günlüklerini istihdam süresi boyunca gözden geçirmeyi tamamladı.
30 Haziran'da Hackerone, tehdit oyuncusunun istihdamını feshetti.
“Avukatla incelemeye tabi olarak, bu konunun cezai yönlendirmesinin uygun olup olmadığına karar vereceğiz. Üretilen günlükler ve eski çalışan tarafından kullanılan cihazlar hakkında adli analize devam ediyoruz ” - Hackerone
Hackerone, eski çalışanın müşterilerle etkileşimlerinde “tehdit edici” ve “korkutucu” bir dil kullandığını ve müşterileri agresif bir tonda yapılan açıklamalar alırlarsa şirketle iletişim kurmaya çağırdığını belirtti.
Şirket, “vakaların büyük çoğunluğunda”, yanlış kullanıldığına dair güvenlik açığı verilerinin kanıtı olmadığını söylüyor. Bununla birlikte, iç tehdit oyuncusu tarafından erişilen raporları olan müşteriler, ya hain veya meşru amaçlar için, her bir güvenlik açığı açıklaması için bireysel olarak tarih ve erişim süreleri hakkında bilgilendirilmiştir.
Hackerone ayrıca, gönderimlerine haydut çalışanı tarafından erişilen platformda hackerları da bildirdi:
Bildirim, hackerlara olayın bilgilendirilmesi ve tehdit aktörünün, işlerinin bir parçası olarak meşru olarak eriştiği veya sunulan güvenlik açıklarını kötüye kullanmak amacıyla eriştiği raporların bir listesini içermektedir.
Güncelleme [3 Temmuz 14:21 EST]: Rogue çalışanı tarafından erişilen raporlarla bilgisayar korsanlarına hackerone bildirimi ile güncellendi.
Ransomware'de Hafta - 1 Temmuz 2022 - Bug Bountries
Avaya Sysadmin, yasadışı olarak üretildiğine, VoIP lisanslarını sattığı için suçlu
Opensea veri ihlalini açıklar, kullanıcıları kimlik avı saldırıları konusunda uyarır
Lockbit 3.0 ilk fidye yazılımı hatası ödül programını tanıttı
Kaynak: Bleeping Computer