Bilde: Dzelat/Shutterstock
FBI har lagt skylden for en helgens falske e-posthendelse på en feilkonfigurasjon i Law Enforcement Enterprise Portal (LEEP) som gjorde det mulig å sende e-poster fra ic.fbi.gov-domenet.
“LEEP er FBI IT-infrastruktur som brukes til å kommunisere med vår statlige og lokale rettshåndhevelsespartnere,” heter det.
“Mens den illegitime e-posten stammet fra en FBI-drevet server, var den serveren dedikert til å pushe varsler for LEEP og var ikke en del av FBIs bedrifts-e-posttjeneste. Ingen aktører var i stand til å få tilgang til eller kompromittere noen data eller PII på FBIs nettverk.”
FBI sa at de først tok den “påvirkede maskinvaren” raskt frakoblet, og sa senere at den raskt utbedret “programvaresårbarheten” samt bekreftet nettverksintegriteten.
Spamhaus sa det så to bølger av e-post sendes.
Brain Krebs rapporterte at avsenderen av e-postene fant ut at de var i stand til å sende e-poster fordi FBI genererte en engangskode på klientsiden for å registrere seg for en ny konto på LEEP, og den ble sendt sammen med et e-postemne og brødtekst som en POST-forespørsel til FBIs servere. Manipulering av forespørselsparametrene gjorde at e-postene kunne sendes, og et skript ble brukt for å automatisere sendingsprosessen.
Det ser ut til at alle de såkalte feilkonfigurasjonene og programvaresårbarhetene var i måten FBI hadde sin portal på. bygget, med kirsebæret på toppen hvordan den eksponerte og sendte brukerinndata til en e-postserver. Ganske pinlig og verdig et dusin facepalms, minst.
Sikkerhet
Exchange Server-feil: Oppdater umiddelbart, advarer Microsoft Gjennomsnittlig løsepengevarebetaling for amerikanske ofre for mer enn $6 millioner Microsoft Patch Tirsdag: 55 feil knust, to under aktiv utnyttelse. Mistenkt REvil løsepengevare-tilknyttede selskaper arrestert. Det beste phishing-målet? Din smarttelefon Hvorfor trenger du denne sikkerhetsnøkkelen på $29. Regjeringen – USA | Sikkerhets-TV | Databehandling | CXO | Datasentre