CloudSEK stellt Oracle mit neuen Beweisen zur Datenpanne in Frage

MÜNCHEN (IT BOLTWISE) – In der Welt der Cybersicherheit gibt es derzeit eine hitzige Debatte um Oracle und eine angebliche Datenpanne, die die Cloud-Infrastruktur des Unternehmens betrifft.

Oracle steht derzeit im Mittelpunkt eines Cybersecurity-Dramas, das sich um einen angeblichen massiven Datenverlust in seiner Cloud-Infrastruktur dreht. Vor kurzem veröffentlichte ein führendes Branchenportal einen Bericht, der auf den Erkenntnissen des Cybersicherheitsunternehmens CloudSEK basiert. Demnach soll ein Bedrohungsakteur, bekannt als „rose87168“, sechs Millionen Datensätze aus der Oracle Cloud gestohlen haben. Der Hacker behauptet, einen wichtigen Single Sign-On (SSO)-Endpunkt kompromittiert zu haben, was zur Exfiltration sensibler Daten wie SSO- und LDAP-Anmeldedaten, OAuth2-Schlüssel und Kundeninformationen führte. Kurz nach Bekanntwerden der Vorwürfe wies Oracle die Anschuldigungen entschieden zurück und erklärte, dass es keinen Einbruch in die Oracle Cloud gegeben habe. Das Unternehmen betonte, dass die von dem Bedrohungsakteur veröffentlichten Anmeldedaten nicht mit der Oracle Cloud in Verbindung stünden und keine Kunden betroffen seien. Diese Aussage steht im direkten Widerspruch zu den Erkenntnissen von CloudSEK, die sowohl die Öffentlichkeit als auch Oracle in formellen Berichten alarmierten. CloudSEK hat jedoch die Behauptungen von Oracle mit einer neuen Analyse untermauert, die als „schlüssiger Beweis“ für den Vorfall gilt. In einem Blogbeitrag, der vorab mit dem Branchenportal geteilt wurde, beschreibt CloudSEK, wie ihre Forscher die Aktivitäten des Bedrohungsakteurs am 21. März 2025 entdeckten. Laut dem Cybersicherheitsunternehmen wurde der Angriff auf einen kompromittierten Produktions-SSO-Endpunkt (login.us2.oraclecloud.com) zurückgeführt, den der Hacker ausnutzte, um Daten von mehr als 140.000 Mandanten zu stehlen. CloudSEK fand zudem Beweise dafür, dass der Bedrohungsakteur die kompromittierte Domain aktiv nutzte, um API-Anfragen über OAuth2-Token zu authentifizieren, wie in einem archivierten öffentlichen GitHub-Repository unter dem offiziellen „oracle-quickstart“-Konto von Oracle zu sehen ist. Der Endpunkt wurde als in der Produktion verwendet nachgewiesen, was Oracles Behauptung widerspricht, dass die Anmeldedaten nicht mit ihrer Infrastruktur in Verbindung stünden. Besonders bemerkenswert ist ein Beweisstück, das reale Kundendomänennamen umfasst, die der Hacker als Beispiele bereitstellte. CloudSEK überprüfte die Domänen anhand öffentlich zugänglicher Daten und stellte fest, dass es sich tatsächlich um gültige Oracle Cloud-Kunden handelte. Zu den identifizierten Domänen gehören nexinfo.com, nucor-jfe.com, rapid4cloud.com und cloudbasesolutions.com. Diese Domänen waren in GitHub-Repositories und Oracle-Partnerdokumentationen vorhanden, und CloudSEK bestätigte, dass es sich nicht um bloße Dummy- oder Canary-Konten handelte. Der kompromittierte Endpunkt, login.us2.oraclecloud.com, wurde als aktives Produktions-SSO-Setup validiert, das in realen Konfigurationen von OneLogin und Rainfocus verwendet wird. Sollte sich der Vorfall als wahr herausstellen, könnte der Schaden erheblich sein. Die Offenlegung von sechs Millionen Datensätzen, einschließlich verschlüsselter SSO- und LDAP-Passwörter, birgt das Risiko unbefugten Zugriffs, Spionage und Datenpannen in betroffenen Systemen. Die Einbeziehung von JKS-Dateien und OAuth2-Schlüsseln bedeutet, dass Angreifer möglicherweise langfristige Kontrolle über betroffene Dienste erlangen könnten. CloudSEK warnt, dass die kompromittierten Anmeldedaten möglicherweise geknackt und auf eine Weise wiederverwendet werden könnten, die weitere Risiken für Unternehmensumgebungen birgt. Der Hacker fordert Berichten zufolge auch Lösegeldzahlungen von betroffenen Unternehmen, um die gestohlenen Daten zu löschen, was sowohl finanzielle als auch reputationsbezogene Bedrohungen verstärkt. In Reaktion auf Oracles Ablehnung erklärte Rahul Sasi, CEO von CloudSEK, dass das Unternehmen sich darauf konzentriere, Transparenz und Beweise statt Spekulationen zu liefern. CloudSEK hat seine Erkenntnisse durch öffentliche Berichte und kostenlose Tools geteilt, um Organisationen zu helfen, festzustellen, ob sie betroffen sind. Darüber hinaus empfiehlt Rahul Unternehmen, ihre SSO- und LDAP-Anmeldedaten sofort zu ändern und eine Multi-Faktor-Authentifizierung (MFA) einzurichten, um zusätzlichen Schutz zu bieten. Es ist auch wichtig, die Protokolle genauer zu betrachten, um ungewöhnliche Aktivitäten im Zusammenhang mit dem kompromittierten Endpunkt zu erkennen. Ein Auge auf Dark-Web-Foren zu haben, um Anzeichen von durchgesickerten Daten zu erkennen, ist ebenfalls ratsam. Darüber hinaus ist es eine gute Idee, sich mit der Oracle-Sicherheit in Verbindung zu setzen, um Schwachstellen zu identifizieren und zu beheben. Cybersicherheitsexperten stellen bereits Oracles schnelle Ablehnung in Frage. Chad Cragle, CISO bei einer führenden Cyber-Resilienz-Plattform, betonte, dass Oracle die von CloudSEK aufgeworfenen Fragen beantworten müsse, um seine Glaubwürdigkeit zu wahren. „CloudSEK hebt einen kritischen Punkt hervor. Wenn es keinen Einbruch gab, wie konnte ein Bedrohungsakteur angeblich eine Datei in die Oracle Cloud-Subdomain hochladen?“ argumentierte Chad. „Dies deutet auf unbefugten Zugriff hin, selbst wenn es sich nicht um einen vollständigen Kompromiss handelt.“ „Das Ignorieren des Vorfalls, ohne auf dieses wichtige Detail einzugehen, wirft mehr Fragen auf als Antworten. Wenn Oracle seine Glaubwürdigkeit bewahren will, muss das Unternehmen klären, wie die Datei dort gelandet ist, ob Sicherheitslücken ausgenutzt wurden und warum die Subdomain entfernt wurde“, fügte er hinzu. Heath Renfrow, CISO und Mitbegründer eines Cyber-Katastrophenwiederherstellungsunternehmens, äußerte Bedenken über Oracles Haltung zu dem Vorfall und die Fähigkeit des Bedrohungsakteurs, Dateien innerhalb kritischer Infrastruktur hochzuladen. „Unabhängig von Oracles Position ist die Präsenz einer von einem Bedrohungsakteur hochgeladenen Datei im Webroot einer scheinbar Oracle Cloud Infrastructure (OCI) Login-Subdomain zutiefst besorgniserregend“, sagte Heath. „Dieses Detail, gepaart mit der öffentlichen Verfügbarkeit sensibler Daten in Foren, wirft berechtigte Fragen über das Ausmaß des Kompromisses auf und ob Kunden mit föderierten Login-Konfigurationen gefährdet sein könnten.“

Zu den Top-Stories!

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.958 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen