A Stryker US megsértése lopott hitelesítő adatokkal kezdődhetett

Új jelentések szerint a kibertámadás, amely megzavarta az orvostechnológiai óriás Stryker nem egy szoftveres exploit, hanem egy infostolvaj kártevő által begyűjtött hitelesítő adatokkal kezdődhetett.

SecurityWeek március 18-án jelentette, hogy a Hudson Rock CTO Alon Gal bizonyítékot talált a Stryker rendszergazdai hitelesítő adataira az infostealer naplóiban, valamint a vállalathoz kapcsolódó egyéb Microsoft szolgáltatási és mobileszköz-kezelési hitelesítő adatokra.

Ez nem jelent megerősített törvényszéki megállapítást, és a Stryker nem igazolta ezt a támadási útvonalat. A március 11-i SEC-bejegyzésbena vállalat közölte, hogy azonosított egy bizonyos informatikai rendszereket érintő kiberbiztonsági incidenst, amely globális fennakadást okozott a Microsoft-környezetében. A Stryker azt is elmondta, hogy akkoriban nem volt jele zsarolóprogramnak vagy rosszindulatú programnak, és hogy a vizsgálat továbbra is folyamatban van.

Bizonyítékok utalnak az érvényes fiókkal való visszaélésre

Az újabb jelentés azért figyelemre méltó, mert konkrétabb elméletet kínál arra vonatkozóan, hogy a támadók hogyan jutottak hozzáférésre. A SecurityWeek szerint a korábbi jelentések szerint a támadók visszaélhettek a Stryker Microsoft Intune környezetével, miután kompromittáltak egy rendszergazdai fiókot, és létrehoztak egy új globális admin fiókot, amelyet aztán állítólag a kezelt eszközök törlésére használtak.

A Hudson Rock elemzése egy lehetséges upstream magyarázattal egészíti ki: a hitelesítő adatok már az incidens előtt is keringhettek az infostealer naplókban. Gal szerint a Strykerhez kapcsolódó hitelesítő adatok hónapok vagy akár évek óta létezőnek tűntek, ami arra utal, hogy a kitettségi ablak jóval a március 11-i incidens előtt kezdődhetett.

A különálló telemetria alátámasztja, de nem erősíti meg a tényt

A Lunar Cyber március 12-i bejegyzése azt is közölte, hogy a Strykerrel kapcsolatos hitelesítő adatokat figyelt meg az infostopper naplóiban 2025 nagy részében, nagyjából 14 hitelesítő adathalmaz volt kitéve, amelyek a Microsoft 365-öt és harmadik fél portálokat érintették.

Ez nem bizonyítja, hogy ezeket a hitelesítő adatokat használták a betörés során, de alátámasztja annak szélesebb körű lehetőségét, hogy a Strykerrel kapcsolatos hozzáférési adatok már az incidens nyilvánosságra kerülése előtt is ki voltak téve. A Stryker beadványa szerint az incidens teljes terjedelme, jellege és hatása továbbra sem ismert.

Egyelőre az a legbiztosabb keretezés, hogy az új jelentések a Stryker betörését potenciálisan ellopott hozzáférési adatokkal hozták összefüggésbe, de a Stryker vizsgálata még folyamatban van, és a behatolás pontos útját hivatalosan nem erősítették meg.