LastPass: Über Privat-PC eines Entwicklers Firmen-Cloud angegriffen

LastPass kommt nicht zur Ruhe: Der Anbieter von Pass­wort-Ma­nage­ment-Soft­ware teilte jetzt mit, dass den bereits bekannten Problemen des letzten Jahres noch weitere folgten. Unter anderem drangen Angreifer in den Privatrechner eines Mitarbeiters ein. Bei dem Angreifer handelt es sich offenbar um die gleiche Person oder Gruppe, die schon für die vorhergehenden Vorfälle verantwortlich war. Alles deutet darauf hin, dass es sich um eine gut geplante Attacke handelte, bei der stufenweise immer weitergehende Daten des Unternehmens gestohlen wurden. Diese konnten dann miteinander kombiniert werden, um einen maximalen Effekt zu erzielen.

Wie das Unternehmen jetzt mitteilte, habe der Angreifer aus dem ersten Angriff, der im Sommer 2022 stattfand, die erlangten Informationen genutzt, um eine gut koordinierte zweite Stufe zu starten. Hierbei kam es zwischen dem 12. August und dem 26. Oktober zu mehreren weiteren Attacken auf die Infrastruktur des Software-Herstellers.

Schwachpunkt Homeoffice

Das größte Problem stellte dabei die Tatsache dar, dass es dem Angreifer gelang, sich Zugang zum privaten PC eines hochrangigen DevOps-Entwicklers zu verschaffen. Hierfür wurde eine Schwachstelle einer Medien-Software ausgenutzt. Im Ergebnis verfolgte dann eine Keylogger-Malware die Zugriffe des Nutzers auf die Cloud-Ressourcen LastPass'. Unter anderem konnten so das Masterpasswort des Entwicklers und auch dessen Token der Zwei-Wege-Authentifizierung abgegriffen werden.

Auf diesem Weg bekamen der oder die Unbefugten Zugriff auf sensible Informationen und Backups, die in dem Cloud-Speicher, der von Amazon betrieben wird, abgelegt waren. Aufgrund des untypischen Verhaltens schlugen dort allerdings die Alarmsysteme an, wodurch man dem Fremdzugriff auf die Spur kommen konnte. Den Angaben zufolge wurden verschiedene Maßnahmen ergriffen, um die Probleme zu beseitigen. Die entwendeten Daten dürften allerdings weiterhin nicht geeignet sein, um den Angreifen Zugang zu den Passwort-Tresoren der Nutzer zu verschaffen.


Siehe auch: