Włamanie w Stryker US mogło rozpocząć się od kradzieży danych uwierzytelniających

Nowe doniesienia sugerują, że cyberatak, który zakłócił działanie giganta technologii medycznej Stryker mógł rozpocząć się od danych uwierzytelniających zebranych przez złośliwe oprogramowanie infostealer, a nie od exploita oprogramowania.

SecurityWeek poinformował 18 marca, że Hudson Rock CTO Alon Gal znalazł w logach infostealera dane uwierzytelniające administratora firmy Stryker, wraz z innymi danymi uwierzytelniającymi usług Microsoft i zarządzania urządzeniami mobilnymi powiązanymi z firmą.

Nie jest to równoznaczne z potwierdzonym odkryciem kryminalistycznym, a Stryker nie zweryfikował tej ścieżki ataku. W zgłoszeniu SEC z 11 marca https://www.sec.gov/Archives/edgar/data/310764/000119312526102460/d76279d8k.htmfirma poinformowała, że zidentyfikowała incydent cyberbezpieczeństwa wpływający na niektóre systemy informatyczne, który spowodował globalne zakłócenia w środowisku Microsoft. Stryker powiedział również, że w tym czasie nie miał żadnych wskazań na oprogramowanie ransomware lub złośliwe oprogramowanie i że dochodzenie w tej sprawie jest nadal w toku.

Dowody wskazują na nadużywanie ważnych kont

Nowsze doniesienia są godne uwagi, ponieważ oferują bardziej szczegółową teorię dotyczącą tego, w jaki sposób atakujący mogli uzyskać dostęp. SecurityWeek podał, że wcześniejsze raporty wskazywały, że atakujący mogli nadużywać środowiska Microsoft Intune firmy Stryker po przejęciu konta administratora i utworzeniu nowego globalnego konta administratora, które następnie zostało rzekomo wykorzystane do wyczyszczenia zarządzanych urządzeń.

Analiza Hudson Rock dodaje możliwe wyjaśnienie: dane uwierzytelniające mogły już krążyć w dziennikach infostealera przed incydentem. Gal powiedział, że dane uwierzytelniające powiązane ze Strykerem wydawały się mieć miesiące, a nawet lata, co sugeruje, że okno ekspozycji mogło rozpocząć się na długo przed incydentem z 11 marca.

Oddzielna telemetria dodaje wsparcie, ale nie potwierdzenie

Post z 12 marca z Lunar Cyber powiedział również, że zaobserwował dane uwierzytelniające związane ze Strykerem w dziennikach infostealerów przez większą część 2025 r., Z około 14 ujawnionymi zestawami danych uwierzytelniających, wpływającymi na Microsoft 365 i portale innych firm.

Nie dowodzi to, że te dane uwierzytelniające zostały wykorzystane w naruszeniu, ale potwierdza szerszą możliwość, że dane dostępowe związane z firmą Stryker zostały ujawnione, zanim incydent stał się publiczny. W zgłoszeniu firmy Stryker nadal stwierdza się, że pełny zakres, charakter i wpływ incydentu pozostają nieznane.

Na razie najbezpieczniejsze jest to, że nowe raporty powiązały naruszenie Stryker z potencjalnie skradzionymi danymi uwierzytelniającymi, ale dochodzenie Stryker wciąż trwa, a dokładna ścieżka włamania nie została oficjalnie potwierdzona.