Sakura Samurai (grupo)

Sakura Samurai descubrió directorios Git expuestos y archivos de credenciales Git en dominios pertenecientes al Programa de las Naciones Unidas para el Medio Ambiente (PNUMA) y a la Organización Internacional del Trabajo de las Naciones Unidas (OIT). Estos proporcionaron acceso a las credenciales de la base de datos del administrador de WordPress y al código fuente del PNUMA, y expusieron más de 100 000 registros privados de empleados a los investigadores. Los datos de los empleados incluían detalles sobre los viajes del personal de la ONU, datos de recursos humanos, incluida información de identificación personal , registros de recursos de financiación de proyectos, registros generales de empleados e informes de evaluación de empleo. ^{[ 5 ] [ 6 ]} Sakura Samurai informó públicamente de la brecha en enero de 2021, después de haberla divulgado inicialmente a través del programa de divulgación de vulnerabilidades de la ONU. ^{[ 6 ]}

En marzo de 2021, Sakura Samurai reveló públicamente vulnerabilidades que afectaban a 27 grupos dentro del gobierno indio. Tras encontrar directorios de configuración y Git expuestos, Sakura Samurai pudo acceder a credenciales de aplicaciones críticas, más de 13 000 registros personales, informes policiales y otros datos. El grupo también descubrió vulnerabilidades relacionadas con el secuestro de sesiones y la ejecución de código arbitrario en sistemas gubernamentales relacionados con las finanzas. ^{[ 7 ]} Después de que los problemas reportados al Centro Nacional de Protección de Infraestructuras de Información Crítica de la India permanecieran sin solución durante varias semanas, Sakura Samurai involucró al Programa de Divulgación de Vulnerabilidades del Departamento de Defensa de los Estados Unidos , y los problemas fueron remediados. ^{[ 8 ] [ 7 ]}

Sakura Samurai descubrió y reportó una vulnerabilidad de secuencias de comandos entre sitios (XSS) en Apache Velocity Tools en octubre de 2020. Variaciones sofisticadas de la vulnerabilidad, combinadas con ingeniería social , podrían permitir a los atacantes recopilar las cookies de sesión del usuario conectado , lo que potencialmente les permitiría secuestrar sus sesiones. La clase vulnerable de Apache Velocity Tools estaba incluida en más de 2600 binarios únicos de diversas aplicaciones de software importantes. Apache reconoció el informe y corrigió la falla en noviembre de 2020, aunque no la hizo pública formalmente. ^{[ 9 ]}

El grupo descubrió que Keybase , una aplicación de chat centrada en la seguridad propiedad de Zoom , almacenaba imágenes de forma insegura, incluso después de que los usuarios supuestamente las hubieran eliminado. Informaron de la vulnerabilidad en enero de 2021 y la divulgaron públicamente en febrero, después de que el error se hubiera corregido y las actualizaciones se hubieran distribuido ampliamente. ^{[ 10 ]}

Sakura Samurai descubrió una vulnerabilidad en el paquete de software empresarial Pega Infinity de Pegasystems , utilizado para la interacción con el cliente y la automatización de procesos digitales. La vulnerabilidad, que se reportó por primera vez a Pegasystems en febrero de 2021, implicaba una posible configuración incorrecta que permitiría la exposición de datos. ^{[ 11 ]}

La vulnerabilidad permitió que Sakura Samurai vulnerara sistemas pertenecientes a Ford Motor Company y John Deere , incidentes que se hicieron públicos en agosto de 2021. ^{[ 12 ] [ 13 ]} Estas vulneraciones fueron objeto de una presentación de Sick.Codes en DEF CON 2021 , titulada «La carrera armamentística de datos agrícolas: Explotando una gran cantidad de vulnerabilidades en la cadena de suministro global de alimentos (de buena fe)». ^{[ 14 ]}

En mayo de 2021, Sakura Samurai informó sobre las vulnerabilidades que habían descubierto y divulgado a Fermilab , un laboratorio de física de partículas y aceleradores . El grupo logró acceder a un sistema de gestión de incidencias del proyecto , credenciales de servidor e información de empleados. ^{[ 15 ]}