顶级公司如何在网上意外泄露数TB的敏感数据

然而，作为对指控的回应，这家安全公司证实，他们没有从客户那里提取敏感文件；相反，这取决于公司—；意外（但明确）共享敏感数据以利用可选的基于云的反恶意软件服务的用户。

周三，信息安全公司DirectDefense发布了一篇博客文章，声称他们发现美国公司炭黑提供的端点检测和响应（EDR）解决方案存在一个重大问题，称该公司正在从客户那里泄露数十万个敏感文件。

炭黑是一家领先的事件应对和威胁搜寻公司，为美国最大的100家公共和私营公司中的近30家提供安全产品，包括互联网搜索、社交媒体、政府和金融领域的硅谷领导者。

DirectDefense称“炭黑”泄露数据

根据DirectDefense的说法，该公司的CB响应对泄露大量客户数据负有责任—；从云密钥和应用商店密钥到凭证和其他敏感商业秘密—；由于其对第三方多扫描仪服务的依赖。

Carbon Black专注于在一个云平台上提供下一代防病毒+端点检测和响应（EDR）解决方案，该平台可阻止恶意软件和其他网络攻击。

该产品的工作原理是识别“好”和“坏”文件，然后创建它们的白名单，以防止其客户端在其系统上运行有害文件。因此，该工具不断评估巨大且不断扩大的文件库，以确定是否存在潜在感染。

DirectDefense声称，每当该工具在其客户的计算机上遇到以前从未见过的新文件时，它首先将该文件上传到炭黑服务器，然后该公司将该文件的副本转发给VirusTotal multiscanner服务（由谷歌拥有），该服务包含数十个防病毒引擎，以检查该文件的好坏。

但据国防部长吉姆·布鲁姆说：

“基于云的多扫描服务[VirusTotal]以营利性企业的形式运营。它们通过向恶意软件分析师、政府、企业安全团队、安全公司，以及基本上任何愿意付费的人收取访问高级工具的费用来生存。”

因此，任何愿意付费的人都可以访问multiscanner，并最终访问提交到其数据库的文件。

布鲁姆称该计划为“世界上最大的付费数据外泄僵尸网络”

布鲁姆说，他在2016年年中发现了这个问题，当时他的公司正在处理客户计算机上的一个潜在漏洞。

在使用基于VirusTotal云的多扫描仪搜索可能感染其客户的恶意软件时，他的工作人员发现了一批属于“非常大的电信设备供应商”的内部应用程序

在深入挖掘之后，该团队发现这些文件是由炭黑上传的，这是由其唯一的API密钥（32d05c66）确定的。一旦团队掌握了主键，就能够定位“数十万个包含TB数据的文件”

布鲁姆写道：“我们下载了大约100个文件（我们发现JAR文件和脚本文件最容易通过脚本进行分析），并通过一些简单的模式匹配来运行这些文件。”。

“当我们得到命中率时，我们会尝试推断它们来自何处。我们并没有试图在分析中详尽无遗，只是重复了几次这个操作，看看它是否仍然成立。”

DirectDefense发现顶级公司泄露的敏感数据

布鲁姆说，他确认了他的团队下载的文件所属的三家公司，但他没有透露受影响公司的名称。

以下是DirectDefense透露的有关三家受影响公司的一些信息：

大型流媒体公司

第一家公司是一家大型流媒体公司，与该公司相关的文件包括以下敏感文件：

• 亚马逊网络服务（AWS）身份和访问管理（IAM）凭据
• 松弛API键
• 公司的人群（Atlassian单点登录）
• 管理员凭据
• 谷歌播放键
• 苹果商店ID

社交媒体公司

第二家公司是一家社交媒体公司，与该公司相关的文件包括：

• 硬编码AWS和Azure密钥
• 其他内部专有信息，如用户名和密码

第三家公司是金融服务提供商，研究人员发现：

• 允许访问客户财务数据的共享AWS密钥
• 商业秘密，包括财务模型和可能的直接消费者数据

“我们发布这些信息的目的不是攻击客户或安全供应商，”布鲁姆写道，我们也不会假装已经对泄露的广度进行了详尽的分析。我们只知道，每次我们查看时，我们都发现同样严重违反保密规定。"

炭黑解释了数据泄露的起源

然而，为了回应DirectDefense的指控，炭黑联合创始人兼首席技术官迈克尔·维斯库索（Michael Viscuso）今天发表了一篇博文，解释他们的CB响应工具不会自动将所有文件上传到VirusTotal；相反，该功能在默认情况下被禁用，用户可以选择使用其多扫描服务。

Viscuso写道：“Cb Response有一项功能，允许客户将未知或可疑的二进制文件自动发送到这些基于云的多扫描仪（特别是VirusTotal）。”。

“我们允许客户选择这些服务，并告知他们与共享相关的隐私风险。”

“如果客户启用第二个选项（使用VirusTotal的完整二进制文件），Cb Response将确保客户了解将完整二进制文件上载到公共多扫描仪服务的相关风险，并给出明确警告。”

这意味着，首先，顶级公司会意外（但明确地）泄露他们在VirusTotal数据库上的敏感文件。

布鲁姆还怀疑，这个问题并非炭黑独有，其他EDR供应商也可能以同样的方式泄露其客户的数据。