Afbeelding: Dzelat/Shutterstock
De FBI heeft de schuld gegeven aan een weekend nep-e-mailincident op een verkeerde configuratie in zijn Law Enforcement Enterprise Portal (LEEP) waardoor e-mails konden worden verzonden vanaf het ic.fbi.gov-domein.
“LEEP is de IT-infrastructuur van de FBI die wordt gebruikt om te communiceren met onze staats- en lokale wetshandhavingspartners', zei het.
“Hoewel de onwettige e-mail afkomstig was van een door de FBI beheerde server, was die server bedoeld voor het pushen van meldingen voor LEEP en maakte geen deel uit van de zakelijke e-mailservice van de FBI. Geen enkele actor kon toegang krijgen tot gegevens of PII op het netwerk van de FBI.”
De FBI zei dat het de “betroffen hardware” aanvankelijk snel offline had gehaald en later zei dat het de “softwarekwetsbaarheid” snel had verholpen en de netwerkintegriteit bevestigde.
Spamhaus zei dat het zag dat er twee golven e-mail werden verzonden.
Brain Krebs meldde dat de afzender van de e-mails ontdekte dat ze e-mails konden verzenden omdat de FBI een eenmalige code aan de clientzijde genereerde om zich aan te melden voor een nieuw account op LEEP, en deze werd samen met een e-mailonderwerp en -tekst verzonden als een POST-verzoek naar de servers van de FBI. Door de verzoekparameters te manipuleren, konden de e-mails worden verzonden en werd een script gebruikt om het verzendproces te automatiseren.
Het lijkt erop dat alle zogenaamde verkeerde configuraties en softwarekwetsbaarheden zaten in de manier waarop de FBI zijn portaal had. gebouwd, met als kers op de taart hoe het gebruikersinvoer blootlegde en doorsluisde naar een mailserver. Behoorlijk beschamend en minstens een dozijn facepalms waard.
Beveiliging
Exchange Server-bug: patch onmiddellijk, waarschuwt Microsoft Gemiddelde ransomware-betaling voor Amerikaanse slachtoffers meer dan $ 6 miljoen Microsoft-patch Dinsdag: 55 bugs geplet, twee onder actieve exploit Verdachte REvil ransomware-filialen gearresteerd Het beste phishing-doelwit? Uw smartphone Waarom u deze beveiligingssleutel van $29 nodig heeft Overheid – VS | Beveiliging TV | Gegevensbeheer | CXO | Datacenters