Інцидент безпеки NVIDIA Brev міг розкрити SSH-ключі для доступу до віртуальних машин клієнтів

NVIDIA розкрила інцидент безпеки на хмарній платформі розробки Brev, який міг розкрити SSH-ключі, що використовуються для доступу до віртуальних машин клієнтів. Несанкціоновану активність повідомили за період з 4 по 20 жовтня, а компанія ротувала постраждалі ключі та оновила інстанси клієнтів новими ключами. NVIDIA заявила, що не знайшла доказів неправомірного використання, але не пояснила, як нападники отримали доступ, і чи торкнувся доступ даних чи робочих навантажень клієнтів.

Що повідомила NVIDIA

За повідомленням, надісланим постраждалим клієнтам, деякі облікові записи могли бути розкриті. NVIDIA заявила, що розслідувала інцидент і виявила невідому активність на платформі, додавши, що інформація, збережена на платформі, могла бути розкрита зловмисникам. Серед постраждалої інформації був SSH-ключ, налаштований Brev. "Ми пишемо, щоб повідомити, що NVIDIA Corporation зазнала інциденту безпеки, який міг вплинути на безпеку ваших даних", йдеться в повідомленні. Компанія заявила, що постраждалий SSH-ключ з того часу було ротувано, а інстанси клієнтів оновлено ключем заміни. Вона не пояснила, як нападники отримали доступ або чи намагався хтось використати скомпрометовані дані, і не розкрила, чи торкнувся доступ даних чи робочих навантажень клієнтів.

Чому важливі SSH-ключі

SSH є протоколом для встановлення безпечного з'єднання між віртуальними машинами або віддаленими комп'ютерами, що працюють разом. Розробники або системні адміністратори можуть використовувати його для керування віддаленими серверами, передавання файлів і виконання команд без фізичного доступу до машини. Brev використовує SSH-ключі, щоб допомагати клієнтам отримувати доступ до цих сервісів у хмарі. Якщо нападники отримають доступ до цих ключів, вони потенційно можуть взяти під контроль віртуальну машину залежно від її конкретних дозволів та інших засобів безпеки.

Ширший контекст безпеки

Інцидент відбувається на тлі того, що кілька компаній, які хостять сервіси розробки ШІ та хмарну інфраструктуру, стикаються зі зростанням інцидентів безпеки, пов'язаних з обліковими даними клієнтів. 30 жовтня кібербезпекова компанія Wiz випустила блог під назвою "Black October" для платформ розробників ШІ. Компанія виявила щонайменше дев'ять платформ, які мали інциденти безпеки протягом місяця, зокрема Zeabur, Fireworks AI, Lightning AI, Opencode, Warp і Northflank серед інших. Wiz заявила, що інциденти були повторюваними, а дослідники зазначили, що "усі публічні звіти вказують на цілеспрямовану експлуатацію, явне полювання на збережені змінні середовища з акцентом на ті, що мають доступ до ШІ". Wiz також поділилася двома випадками зі скомпрометованими обліковими даними Amazon Bedrock: в одному нападники згенерували близько 800,000 викликів API за 30 годин, а інший ключ використали для приблизно 1.7 мільйона викликів за 13 годин. Сукупне використання становило $100,000 за прейскурантними цінами.

Інші інциденти та рекомендовані перевірки

Такі інциденти не обмежуються NVIDIA. Великі банки США, зокрема JP Morgan, Morgan Stanley і Bank of America, раніше цього місяця обмежили доступ агентів до облікових записів клієнтів, головним чином тому, що автоматизовані помічники могли відхилитися від заданих інструкцій і ініціювати несанкціоновані погодження. Бредфорд Регескі, аналітик загроз у RH-ISAC, рекомендував клієнтам у інцидентах, пов'язаних з SSH, провести ретельні перевірки, зокрема ізолювати хости, що встановили скомпрометоване розширення під час вікна експозиції, видалити несанкціоновані SSH-ключі та механізми закріплення, а також ротувати облікові дані та сесії. Оновлення скомпрометованого програмного забезпечення може бути недостатнім, щоб усунути доступ нападника.

Джерела: Tom's Hardware