Los hackers apuntan a cuentas de Okta con altos privilegios a través del servicio de ayuda

Los actores de amenazas están utilizando ingeniería social para convencer al personal del servicio de asistencia técnica para que restablezcan la autenticación multifactor (MFA) para cuentas empresariales de Okta altamente privilegiadas, obteniendo acceso al servicio de gestión de identidad y acceso (IAM) basado en la nube y moviéndose lateralmente a través de las redes objetivo desde allí.

Okta es un servicio IAM basado en la nube y de grado empresarial que conecta a los usuarios empresariales a través de aplicaciones y dispositivos, y es utilizado por más de 17,000 clientes en todo el mundo. Aunque fue creado para sistemas basados en la nube, también es compatible con muchas aplicaciones locales.

Clientes basados en EE. UU. de Okta han reportado un "patrón consistente" de ataques de "impersonación entre inquilinos" en las últimas semanas, con los actores apuntando a usuarios asignados con permisos de "Super Administrador", reveló la empresa en una publicación reciente en su blog.

"Los actores de amenazas parecían tener a) contraseñas de cuentas de usuarios privilegiados o b) ser capaces de manipular el flujo de autenticación delegada a través del Directorio Activo (AD) antes de llamar al servicio de asistencia técnica de una organización objetivo, solicitando un restablecimiento de todos los factores MFA en la cuenta objetivo", según la publicación, atribuida a las Operaciones Cibernéticas Defensivas de Okta.

Los hackers luego acceden a cuentas comprometidas utilizando servicios de proxy anónimos y una IP y dispositivo no asociados previamente con la cuenta del usuario "para abusar de las legítimas características de federación de identidades que les permitieron suplantar a usuarios dentro de la organización comprometida", según la publicación.

Las actividades de los hackers incluyeron la asignación de privilegios más altos a otras cuentas; un restablecimiento de los autenticadores inscritos en cuentas administrativas existentes; y, en algunos casos, la eliminación de los requisitos de segundo factor de las políticas de autenticación. Esto permite a los atacantes moverse lateralmente a través de redes empresariales basadas en la nube y participar en otras actividades nefastas.

Manipulación del Acceso a la Identidad

Los actores de amenazas en el ataque abusaron de una función en Okta llamada Federación Entrante, que permite el acceso a aplicaciones en un Proveedor de Identidad (IdP) objetivo si el usuario se ha autenticado con éxito en un IdP fuente.

La función, que también puede usarse para la provisión de usuarios justo a tiempo, es una utilizada "para ahorrar meses en fusiones, adquisiciones y desinversiones", según la publicación. También es popular entre las grandes organizaciones que requieren controles centrales o que desean provisionar globalmente un conjunto de aplicaciones, mientras también proporcionan autonomía a las divisiones individuales para sus propias políticas y aplicaciones.

Dado el poder que alguien con acceso a esta función tiene, está limitado a usuarios con los permisos más altos en una organización Okta, definidos como Super Admin u Org Admin. Uno de estos administradores también puede delegar este rol a un "Admin Personalizado" para reducir el número de personas con privilegios de Super Admin en entornos grandes y complejos, según la publicación.

En los ataques, Okta observó a los actores configurando un segundo IdP para actuar como una "aplicación de suplantación" para acceder a aplicaciones dentro de la organización comprometida en nombre de otros usuarios. Este segundo IdP actúa bajo el control de los atacantes como un IdP "fuente" en una relación de federación entrante con el objetivo.

Desde el IdP fuente, los actores de amenazas manipularon el parámetro de nombre de usuario para los usuarios objetivo en el segundo IdP “fuente” para coincidir con un usuario real en el “objetivo” comprometido del IdP. Esto les permitió utilizar el inicio de sesión único para acceder a aplicaciones en el IdP objetivo como el usuario objetivo.

Protegiendo el Acceso a Usuarios con Altos Privilegios

Los ataques destacan por qué es importante proteger el acceso a cuentas altamente privilegiadas en soluciones IAM, según Okta, que hizo una serie de recomendaciones para que los usuarios aseguren mejor estas cuentas en sus implementaciones IAM. De hecho, cerrar la brecha de permisos en múltiples fuerzas laborales es un problema común en los entornos empresariales en la nube.

Okta aconseja a los clientes restringir el uso de cuentas altamente privilegiadas, aplicar políticas de acceso dedicadas para usuarios administrativos, y monitorear e investigar cualquier uso sospechoso de funciones reservadas para usuarios privilegiados.

Las empresas que utilizan Okta también pueden configurar las Políticas de Autenticación de la aplicación para el acceso a aplicaciones privilegiadas, incluyendo la Consola de Administración, para requerir reautenticación “en cada inicio de sesión" para asegurar mejor sus entornos.

Además, para evitar que los hackers apunten al personal del servicio de ayuda para obtener acceso a las cuentas, Okta recomendó que las organizaciones fortalezcan los procesos de verificación de identidad del servicio de ayuda utilizando una combinación de verificación visual, Workflows delegados en los que el personal del servicio de ayuda emite desafíos MFA para verificar la identidad de un usuario, y/o Solicitudes de Acceso que requieren la aprobación de un gerente de línea antes de que se restablezcan los factores.

Las organizaciones también deben revisar y limitar el uso de los roles de Super Admin, implementando solo la gestión de acceso privilegiado para ellos. Según Okta, deben usar roles de Admin Personalizado para tareas de mantenimiento y para crear roles de servicio de ayuda con los privilegios mínimos requeridos, y restringir estos roles a grupos que excluyan a los administradores altamente privilegiados.

Fuente y créditos: Hackers Target High-Privileged Okta Accounts via Help Desk (darkreading.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.