Таргетирани атаки

Известната група за ransomware атаки Black Basta е разширила тактиките си за социално инженерство с чат съобщения в Microsoft Teams и злонамерени QR кодове. Чрез тях тя улеснява първоначалния достъп до таргетираните системи, за да може впоследствие да получи неоторизиран достъп до чувствителни данни на организациите. 

Според компанията за киберсигурност ReliaQuest новият тип фишинг атака протича така: 

• нападателите добавят целевите потребители към чатове с външни акаунти, използващи Entra ID. Те са маскирани като служители на отдела за поддръжка или администратори; 
• в рамките на тези чатове целевите потребители получават QR кодове. Домейните, използвани за тази фишинг дейност, са пригодени да съответстват на конкретната организация; 
• QR кодовете насочват потребителите към зловредна инфраструктура. Това полага основите за последващи техники за социално инженерство и внедряване на инструменти за дистанционно наблюдение и управление. 

За да се защитите от тази развиваща се заплаха: 

• деактивирайте комуникацията от външни потребители в рамките на Microsoft Teams или я ограничете до определени доверени домейни; 
• въведете агресивни политики за борба със спама в рамките на инструментите за сигурност на електронната поща; 
• активирайте задължителната регистрация за Microsoft Teams, особено за функцията ChatCreated; 
• инструктирайте служителите си да бъдат бдителни срещу потенциални кампании за социално инженерство; 
• осигурете постоянно обучение и програми за повишаване на осведомеността относно най-новите тактики за фишинг. 

 

 

Aгенциите за киберсигурност на САЩ, Обединеното кралство, Канада, Австралия и Нова Зеландия предупредиха за нова мащабна ботнет мрежа, управлявана от компания, свързана с китайското правителство. Тя се състои от 260 000 устройства – от уебкамери до рутери – работи със зловреден софтуер Mirai и се използва за DDoS атаки, компрометиране на мрежи или за разпространение на зловреден софтуер.  

Зад нея стои китайската Integrity Technology Group. Според ФБР тя функционира от средата на 2021 г. и показва „дейност, съответстваща на тактиките, техниките и инфраструктурата“ на групата за киберзаплахи Flax Typhoon, известна още като RedJuliett и Ethereal Panda. 

Устройства, превърнати в част от мрежата, са открити в Европа, Северна и Южна Америка, Африка, Югоизточна Азия и Австралия. На Стария континент се падат 24,9% от нея. 

За да ограничите риска вашето устройство да стане част от подобна мрежа:  

• Инсталирайте редовно новопубликуваните софтуерни пачове; 
• използвайте силни пароли и двуфакторна автентикация; 
• деактивирайте неизползвани услуги и портове. 

Подкрепяните от Русия и Северна Корея хакери отдавна са сериозен проблем за киберсигурността на бизнеса и правителствените системи навсякъде по света. Това важи с още по-голяма сила за САЩ и Европа, а по всичко личи, че тази тенденция се задълбочава.  

Хакери на руското военно разузнаване атакуват ключови сектори на държави от НАТО

APT групи (Advanced Persistent Threats) към специализирано звено на Главното разузнавателно управление на руския Генерален щаб, използващи иновативни технологии като изкуствения интелект, се насочват към критични сектори на държави членки на НАТО и техни съюзници. Според федералните власти на САЩ и девет други западни служби в списъка с потенциални цели влизат организации от сферата на транспорта, енергетиката, здравеопазването, правителствените и финансовите услуги и т.н.  

В рамките на разследването са документирани повече от 14 000 случая на сканиране на домейни в поне 26 държави членки на НАТО и още няколко от ЕС. Нападателите са компрометирали уебсайтовете на жертвите, сканирали са инфраструктурата им и са ексфилтрирали данни. 

Свързаните с Москва групи са използвали известни уязвимости, като сред наблюдаваните активни експлойти са такива срещу продуктите на Atlassian Confluence Server и Data Center, IP камери на Dahua и Sophos Firewall.  

Пхенян подготвя вълна от кибератаки срещу организации за криптовалути 

В същото време севернокорейски групи подготвят вълна от кибератаки срещу „организации с достъп до големи количества активи или продукти, свързани с криптовалута“. От ФБР предупреждават, че се очаква кампанията да бъде базирана на особено опасни тактики за социално инженерство, включително силно персонализиране, което ще я направи изключително убедителна. 

През последните няколко месеца федералното бюро е засякло различни спонсорирани от Пхенян групи, проучващи цели, свързани с борсово търгувани криптофондове (ETF).  

Предстоящите атаки могат да включват както кражба на криптовалути, така и внедряване на зловреден софтуер. От ООН изчисляват, че досега при подобни кампании севернокорейските хакери са откраднали около 3 млрд. долара в криптовалути, но сегашната вълна от кибератаки може да се окаже още по-трудна за откриване от предишните. 

В нейните рамки се очаква хакерите да се представят за специалисти по набиране на персонал и да се насочат към служители от различни сектори. Те дори може да кандидатстват за работа в различни западни организации и ако бъдат наети, да извършват злонамерена дейност отвътре. 

Обикновено подобни атаки започват с фалшиви предложения за работа или с файлове, съдържащи „троянски кон“, маскирани като PDF, Virtual Network Computing (VNC) клиенти или софтуер за отдалечени конференции. Тези злонамерени файлове често се изпращат под прикритието на предложения за наемане на работа, оферти за специалисти на свободна практика или дори идеи за инвестиции.  

„Компаниите, особено в криптосектора, трябва да бъдат предпазливи по отношение на служителите, които се занимават с лични дейности като търсене на работа на устройства с достъп до фирмена информация, тъй като нападателите се насочват предимно към идентификационните данни за вход и криптопортфейлите. Освен това организациите трябва внимателно да проверяват потенциалните инвестиционни партньори, за да се уверят в тяхната автентичност“, съветва Анди Гарт, директор по правителствените въпроси в ESET. 

Над 445 хил. DDoS атаки или с 45% повече спярмо миналата година са засечени през първото полугодие на 2024 г. по данни на Gcore Radar Report.

Най-мощната атака през изследвания период е достигнала 1,7 Tbps, докато през 2023 г. тя е била 1,6 Tbps. За контекст, дори атака от 300 Gbps може да спре достъпа до незащитен сървър.

Повечето от тях са били кратки – под 10 минути, но най-дългата е продължила цели 16 часа.

Компаниите за онлайн залагания са най-честите цели на DDoS атаки с 49% от общия брой на инцидентите, но най-голям ръст е регистриран в технологичния сектор – удвояване до 15%. Това обаче далеч не означава, че останалите индустрии не са заплашени от DDoS атаки. Напротив – независимо от големината, региона и сферата, в която оперира една компания, тя може да стане жертва на атака за отказ на услуга.

Затова ви съветваме да:

• внедрите услуги за защита от DDoS;
• използвате Web Application Firewall (WAF);
• ограничите броя на едновременните заявки към сървърите си;
• разработите план за реакция при инциденти.

Списъкът на киберкомпаниите, засегнати от свързаната със SolarWinds supply chain атака продължава да нараства.

Palo Alto Networks, Fidelis, Qualys и Mimecast са поредните, разкрили троянизирани версии на приложението на SolarWinds (Orion) в своите вътрешни мрежи.

Доставчикът на софтуер за киберсигурност и мрежово оборудване, Palo Alto Networks, е открил два инцидента със сигурността си още през есента на 2020 г. Атаките са били неуспешни и са свързани със софтуера на SolarWinds, едва след разкритието на пробива във FireEye.

Троянизирана версия на приложението Orion са разкрили и от киберкомпанията Fidelis. Инсталацията е направена още през май 2020 г., като част провеждана оценка на софтуера, и е останала изолирана в тестова среда.

Вниманието към Qualys пък се насочи след като „corp.qualys.com“ се появи в списък на нови домейни, използвани от хакерите на SolarWinds за вторични атаки.

Might be helpfull with the SolarWinds/SUNBURST data to combine one another, so here’s all the data (subdomain, region, first seen date, decrypted DGA) that I’m personally aware of in a Google sheet atm. Feel free to comment with new or updated information https://t.co/Kln8e2eUm6

— Kira 2.0 (@VriesHd) December 17, 2020

Qualys твърди, че приложението Orion е инсталирано само в лабораторна среда за целите на тестването, отделно от основната мрежа.

Най-силно засегнат изглежда е Mimecast – доставчик на продукти за защита на имейли. Компанията разкри, че хакерите са проникнали в мрежата й и са получили достъп до акаунтите в Microsoft 365 на някои от клиентите й. Пробивът е осъществен чрез цифрови сертификати, използвани от един от продуктите за сигурност на Mimecast.

Последен ъпдейт на 16 януари 2021 в 15:53 ч.

Експлоатирането на уязвимости срещу платформата на SolarWinds – Orion, използванo в компрометирането на американското правителство, продължава да разширява мащаба си. Поредното развитие по казуса е открито от компанията за киберсигурност CrowdStrike – става въпрос за уязвимост, озаглавена Sunspot.

Благодарение на нея, хакерите могат да инжектират backdoor в платформата Orion на SolarWinds. Този зловреден код наблюдава изпълняваните системни процеси и замества един от изходните файлове със друг зловреден софтуер – SUNBURST. Част от функционалността на Sunspot е включването на защити, които да попречат присъствието му да бъде разкрито и да гарантират успеха на „мисията“ му.

Към момента общият брой на известните жертви на уязвимостите в Orion вече е над 18 хил. Сред тях са редица американски правителствени агенции.

“Щамът” на Sunspot не е непознат на разследващите supply chain атаката. До момента той е наричан по-различен начин от различните киберизследователи – StellarParticle (от CrowdStrike), UNC2452 (от FireEye) и Dark Halo (от Volexity).

Sunspot е поредният злонамерен софтуер, свързан с най-големия киберпробив от години. До момента станаха известни:

• Sunburst, инсталирал троянски кон в платформата Орион по време на автоматична актуализация
• Teardrop, използван за инсталиране на софтуерно устройство за навигация (Cobalt Strike beacon)
• SuperNova, внедрен като DLL файл, който позволява на атакуващите да изпращат, компилират и изпълняват C# код от разстояние

Самоличността на хакерите на SolarWinds все още не е разкрита. Въпреки това Kaspersky направи връзка с известна по-рано група за кибершпионаж. Установи, че задната врата на Sunburst има припокривания на функции с Kazuar.NET backdoor, обвързан условно с руската хакерска група Turla.

Разбира се, възможно е нападателите да са били „вдъхновени“ от кода на Kazuar или и двете групи да са получили своя зловреден софтуер от един и същ източник или пък кодът да е използван в атаката специално, за да обвини Turla и да замеси Москва…

Междувременно, ФБР също разследва предполагаема руска следа в атаката срещу американското правителство.

Топ-новината в областта на киберсигурността е мащабният пробив в мрежата на Министерство на финансите на САЩ. FireEye вече публикува подробности относно инцидента със supply-chain атаката към SolarWinds.

В последните дни попаднахме на друго интересно проучване – на пионера в разследването на инциденти с оперативната памет, Volexity. Компанията  добавя  детайли и индикатори, свързани с компрометирането на сигурността, което засяга и клиентите на софтуерната платформа Orion на SolarWinds.

Още от 2019 до средата на 2020 г. Volexity успява да засече компрометирани сървъри, атаките към които носят почерка на същата група (UNC2452), която FireEye свързва с атаката към SolarWinds. Тъй като по това време подробности относно групата не са били известни, Volexity я наричат Dark Halo.

Общото между действията на Dark Halo и атаката към Orion на SolarWinds

Най-голямото доказателство за връзка, Volexity намира в домейните за C2 комуникация на зловредния софтуер, описани в доклада на FireEye:

• appsync-api.us-west-2.avsvmcloud[.]com
• freescanonline[.]com
• lcomputers[.]com
• webcodez[.]com

В първите подобни инциденти, разследвани от Volexity, са били открити множество инструменти, задни врати (Backdoor) и инжектирани зловредни кодове, които не са били използвани постоянно, а само при нужда – за ексфилтриране на точно определена информация.

Според доклада на Volexity, три големи инцидента се свързват с групата Dark Halo. Ние избрахме да се спрем на втория от тях, тъй като той дава най-ясна представа за една от техниките, използвана при ексфилтрирането.

Какво е Duo

Duo е дъщерна компания на гиганта Cisco, която предоставя лесен начин за интегриране на многофакторна автентикация (MFA) при достъп до приложенията на различни доставчици. В това число О365, ERP системи, VPN и т.н. Сред най-големите клиенти на Duo са US Department of Defense, US Department of Homeland Security, SalesForce, NIST и т.н.

Как се заобикаля Duo MFA

В разследван инцидент, свързан с Dark Halo, Volexity са наблюдавали как групата осъществява достъп до имейл акаунта на потребител, чрез OWA, при положение, че целевата пощенска кутия е била  защитена с MFA. Логовете от Exchange сървъра показват, че нападателите предоставят потребителско име и парола, като не им е изискано допълнително удостоверяване чрез Duo. В същото време, логовете от сървъра за удостоверяване на Duo не показват да са правени опити за влизане във въпросния акаунт. Volexity успява да потвърди, че не е имало прихващане на сесия и/или дъмп на паметта на OWA сървъра, а че нападателите са използвали бисквитка (cookie), свързана с Duo MFA сесията, наречена duo-sid.

Разследването на Volexity установява, че нападателите са имали достъп до секретния ключ за интегриране на Duo (skey) от OWA сървъра. Този ключ им е позволил да генерират предварително изчислена стойност, която да бъде зададена в бисквитката duo-sid. След успешно удостоверяване с парола, сървърът е оценил бисквитката duo-sid, като валидна. Така нападателите, разполагайки с потребителско име и парола са успели да заобиколят напълно MFA.

Важно е да се отбележи, че това не е уязвимост при доставчика на MFA: необходимо е всички пароли, свързани с ключовете за интеграции, като тези с доставчика на MFA, да бъдат променени след подобен инцидент. При това е особено важно паролите да бъдат сменени с такива, които по нищо не наподобяват старите (Пример: Да промените Sofia2020 на Plovdiv2020 не е добро решение!).

Става дума за продължително организирана атака

Друга интересна подробност, e че още през юли 2020 г. Volexity  са идентифицирали подозрителни административни команди и ActiveSync аномалии в Exchange инфраструктурата на клиента, чийто инцидент са разследвали. След обстойно проучване е било потвърдено, че има пробив в мрежата и крайните станции, като атакуващите са използвали команди, свързани с експортирането на мейли и ексфилтрирането им през Outlook (OWA). Много от детайлите описани тогава, се припокриват с доклада на FireEye, включително и такива, свързани с евентуална инфекция на SolarWinds машината на клиента.

За съжаление Volexity не са успели да опишат в детайли компрометирането на  SolarWinds и да предоставят нужните доказателства на разработчика. Съответно не е имало възможност за по-нататъшно разследване и разкриване на проблема със supply-chain атаката по-рано.

През последните дни ви предоставяме различни анализи и гледни точки за това как се е стигнало до хака на американската администрация. Основната ни цел е да насочим вниманието на отговорниците по сигурността (CSO и др.) към различните пробойни и недостатъци и да не подценяват дребните пропуски. Защото хакерите търсят най-слабото ви звено.

Последен ъпдейт на 16 декември 2020 в 13:48 ч.

За тези, които не знаят за какво служи платформата Orion на SolarWinds – това е система за управление на мрежата (NMS – Network Management System).

SolarWinds е един от най-използваните и широкоразпространени брандове NMS в световен мащаб. Използва се в средни и големи частни организации, правителствени агенции, военни и други стратегически формирования с национално значение.

NMS обикновено служи за наблюдение на мрежови устройства и критични сървъри. Ако някога сте виждали мрежова карта, на която устройствата са показани в зелено/жълто/червено, то тя вероятно е създадена от NMS.

Как NMS генерира картата

Понякога това е проста задача – колкото командата за проверка на наличността на дадена система в мрежата (ping).  По-често обаче NMS използва SNMP (протокол за наблюдение и управление на мрежата) или инсталиран върху машината агент, за да научи или промени състоянието на отдалечените устройства. В допълнение към това, тези управляващи мрежата системи могат да променят конфигурацията, да рестартират услуги и т.н. Разбира се, не всички NMS са в състояние или имат права да правят промени или поне – не за всички системи в инфраструктурата.

Защо NMS са отлични цели за атакуващия и защо евентуален хак е труден за откриване

Както споменахме по-горе, NMS имат достъп до повечето (може и до всички) системи в мрежата, така че изходящите IP ACL (правилата за контрол на мрежовия трафик) не са полезен контрол. Netflow (протоколът, следящ за активността в мрежовия трафик) обикновено също не помага, тъй като NMS не само има достъп до всичко, но и говори много – тя се нуждае от разнообразна информация относно мрежата, която управлява, за да е максимално полезна.

Може би добра новина е, че NMS рядко има достъп до всички системи. Лоша новина е, че до най-критичните системи, най-вероятно достъпът е с най-високи привилегии и са позволени, както промяна в конфигурации, така и рестартиране на сървиси, цели машини или достъп до чувствителна информация, касаеща работата на системата. Това, разбира се, не е провал в моделирането на сигурността, защото същността на работа на тези системи предполага подобен тип взаимодействие с машините в мрежата. Нека си припомним, че сигурността включва и наличност (CIA – Confendentiality, Integrtity, Availability). В този ред на мисли, колкото по-критична е системата, толкова по-вероятно е да искате да осигурите нейната наличност. NMS я осигурява, като следи за услуги, които не реагират и ги рестартира автоматично, като част от зададен автоматизиран процес, а в повечето случаи – дори и без администраторът да разбере.

Друга лоша новина е, че дори и само в режим на монитор, NMS все още може да се използва за четене на конфигурации, които често включват достатъчно информация, за да могат хакерите да преминат от една система в друга (lateral movement). По-този начин хакерът може незабелязано да прескача от система към система, деактивирайки средствата им за защита и преодолявайки механизмите за наблюдение.

Сега вече всички се досещате, защо компрометирането на SolarWinds NMS е апетитна хапка и защо хакерите са се насочили точно към тази система:

1. Широкото й разпространение предоставя възможност за достъп до голям брой системи в таргетирани организации, вкл. такива от национално значение
2. Критичността и нивата на достъп на системата на практика осигуряват ключа за цялото „кралство”. Това е все едно да имате потребител „enterprise domain super administrator plus”

Какво трябва да направите ако имате инсталиран SolarWinds NMS

1. Не изпадайте в паника и не го изтегляйте офлайн
2. Следете “изкъсо” препоръките на производителя и приложете всички налични и бъдещи ъпдейти, които се публикуват
3. Помислете и за наблюдение и предупреждение при всеки опит за достъп до администраторския интерфейс
4. Независимо коя NMS използвате, препоръчваме да заключите достъпа до администраторските интерфейси, като използвате списъци за контрол на достъпа

Откриването на аномалии в трафика няма да е лесно, но в следващите няколко дни и седмици ще се появят IOCs (indicators of compromise), които ще подпомогнат системите за наблюдение.

В повечето организации NMS се конфигурира от администраторите, чиято единствена цел е осигуряване на наличност. Работете заедно с екипите по сигурност и моделирайте системите също и от гледна точка на поверителност.

В заключение само ще кажем, че NMS са “необходимото зло”. Без тях конфигурирането, управлението и наблюдението на множество системи би довело до доста по-силен “слънчев вятър” (solar wind), който би „довял“ съпътстващи проблеми. Или иначе казано – не изхвърляйте бебето, заедно с водата за къпане! Обърнете сериозно внимание на моделирането на сигурността в организацията си, за да минимизирате риска и щетите при евентуален инцидент. Ако срещате трудности – допитайте се до специалисти с опит и познания по темата.

Последен ъпдейт на 2 януари 2021 в 18:46 ч.

Правителството на САЩ съобщи за мащабен пробив в мрежата на Министерство на финансите, а вероятно и на други държавни агенции. Все още не е ясен пълния списък със засегнати структури, но се очаква той да нарасне.

Експертите смятат, че няма достатъчно квалифицирани екипи от специалисти, които да идентифицират надлежно всички правителствени и частни системи, които може да са били хакнати. Държавната администрация пък не иска да сподели пълния обхват на инцидента и имената на засегнатите.

Не е ясно какво точно са търсили хакерите, но експертите казват, че това може да включва ядрени тайни, схеми на усъвършенствани оръжия, изследвания, свързани с ваксината COVID-19 и информация от досиетата на ключови държавни и индустриални лидери.

За атаката се счита, че е част от киберкампания срещу американски институции, жертва на която стана и компанията за киберсигурност FireEye. Смята, че зад атаката стои чуждо правителство, като най-много се спряга руско участие.

Пробивът е станал през широкоизползвания софтуер за мониторинг на ИТ инфраструктура Orion на компанията SolarWinds. Веднъж получили отдалечен достъп до него, всичко в засегнатата мрежа  става видимо за хакерите.

Според разследване на Microsoft,  зловреден код е бил вмъкнат в DLL файл, свързан с платформата за управление на инфраструктурата Orion. Той е осигурил на хакерите backdoor, използван за осъществяване на същинската атака.

SolarWinds asks all customers to upgrade immediately to Orion Platform version 2020.2.1 HF 1 to address a security vulnerability. More information is available at https://t.co/scsUhZJCk8

— SolarWinds (@solarwinds) December 14, 2020

За пробивът в американското правителство е станало ясно при разследването, което FireEye е провела в собствената си мрежа. Компанията е установила, че софтуерът на SolarWinds е инжектиран със зловреден код, който се е разпространил с ъпдейт, приложен през март 2020.

На сайта си SolarWinds заявяват, че имат над 300 хил. клиенти по целия свят, включително всичките пет клона на американската армия, Пентагона, Държавния департамент, НАСА, Агенцията за национална сигурност, Министерството на правосъдието и Белия дом. Според него 10-те водещи американски телекомуникационни компании и петте най-добри американски счетоводни фирми също са сред клиентите.

Флорида е първият щат, който призна, че е станал жертва на хака на SolarWinds. Cisco Systems Inc. и Microsoft Corp. също съобщиха, че системите им са били засегнати от злонамерения ъпдейт. Към списъка се присъединиха Министерството на енергетиката (DOE) и Националната администрация за ядрена сигурност (NNSA) на САЩ. Пентагонът е заявил, че към момента не са открити прониквания в мрежата му.

Американските държавни агенции са получили директива за предприемане на незабавни действия, които да намалят щетите от използването на компрометирания софтуер Orion на SolarWinds.

Продължаваме да следим темата, за да ви информираме своевременно за развитието на инцидента.

Ситуацията показва, че 100% сигурност не съществува, но наличието на средства за проследяване на случващото се в мрежата (Cybersecurity Monitoring) ви дава възможност да реагирате навременно и адекватно и да вземете мерки за минимизиране на нанесените щети.

Прочетете още: Network Management System – перфектната цел за атака

Друга интересна гледна точка представяме и тук: Хакерите на SolarWinds заобикалят многофакторното удостоверяване на Duo

Както всеки администратор знае, хаковете са навсякъде около нас и постоянно еволюират. С една-единствена цел – да ни затруднят да ги разпознаем и класифицираме и да оцелеят възможно най-дълго в нашата компютърна екосистема.

Всяка кибератака представлява комплексен низ от стъпки, събития и действия, които трябва да се изпълнят последователно, за да бъде тя успешна. Ако администраторите познават основните фази, през които преминава изпълнението на една кибератака, те ще могат да я разпознаят в някой от етапите на протичането й и да я предотвратят.

Първа фаза:  Разузнаване

Атакуващият има нужда от максимум информация за жертвата си, за да планира правилно атаката. В тази фаза се тестват и изследват механизмите за защита на жертвата. Хакерът обикновено търси уязвимо устройство или уязвима операционна система. Опитва се да научи максимално много за служителите, използвайки социални медии. Понякога дори използва партньори с по-слаба защита, които могат да бъдат компрометирани лесно, като точка за достъп до основната жертва.

Противодействие:

• Не публикувайте твърде много информация в интернет и по възможност редактирайте или отстранете т.нар. банери на сървърите, които използвате. Те указват точната версия, която се използва и по този начин дават на атакуващия предимство в търсенето на уязвими места.
• Обучавайте служителите си да не споделят прекомерно и ненужно в социалните мрежи
• Проверявайте внимателно дали получените съобщения идват наистина от ваши партньори и дали прикачената информация не е измама

Втора фаза: Подготовка за атака (въоръжаване)

След като открият уязвимост в инфраструктурата на набелязаната жертва, атакуващите подготвят приложения, с които да я експлоатират, като се стремят да останат незабелязани. Повечето киберпрестъпници използват инструменти, които вече са известни и са използвани и в миналото. Ако такива обаче липсват, по всяка вероятност атакуващите ще се въоръжат с т.нар. Zero-Day експлойт, срещу който все още няма подготвени дефиниции или кръпки.

Противодействие:

• Създайте във вашата организация политики и процедури за информационна сигурност, за да повишите нивото си на защита или се обърнете към специалисти, които да го направят за вас

Вижте също: Какво е Zero trust security и защо да го въведете в компанията си през 2020 г.

Трета фаза: Доставяне

След като се „въоръжи“, престъпникът трябва да намери механизъм, с който да достави пейлоуда (файлът, който изтегля същинския зловреден код). Това става най-често чрез фишинг имейли, а също и през инфектирани уеб сайтове, фалшиви реклами и др. Атакуващият се нуждае само от една слабост – един служител, който да натисне грешния линк или да отвори неправилният файл.

Противодействие:

• Използвайте технически средства, с които да отсеете масовката от спам и фишинг
• Провеждайте адекватни и регулярни обучения за персонала ви, за да могат те да разпознават фишинг атаки, както и други заплахи
• Използвайте услуги или системи за мониторинг, които биха ви подсказали за нетипично поведение в мрежата или крайните станции.

Прочетете още: Защо фишингът е най-често използваният метод за кибератаки?

Четвърта фаза: Експлоатация

След като пейлоудът е доставен успешно, той трябва да бъде изпълнен незабелязано. Повечето атаки се фокусират върху приложения от трети страни, които работят с по-високи права върху операционната система. В повечето случаи тези приложения не се ъпдейтват често и почти не се тестват за уязвимости, затова стават лесна мишена и входна врата към превземането на системата.

Противодействие:

• Подбирайте внимателно и не се предоверявайте на приложения от трети страни
• Прилагайте навреме и редовно наличните кръпки в операционната система и съпътстващите приложения
• Използвайте защита на крайните станции от доказал се разработчик
• Наблюдавайте действията на потребителите за нетипично поведение или изпълнение на съмнителен код върху системата, а при невъзможност да се справите сами, изнесете тази задача като услуга

Ще ви бъде интересно да разгледате: 15 добри практики за защита на приложенията – за разработчици и клиентите им

Пета фаза: Командване & Контрол

След като експлойта е доставен и изпълнен успешно, той започва да комуникира със сървър на нападателя. В повечето случаи тази комуникация бива криптирана, за да остане трафикът скрит. Целта на атакуващия е да бъдат свалени допълнителен зловреден код и инструменти, които да  проникнат и компрометират мрежата на жертвата.

Противодействие:

• Използвайте добри технологични решения, които бързо и точно да идентифицират злонамерения софтуер в системата
• Наблюдавайте мрежата си за съмнителен трафик и поведение

Шеста фаза: Вътрешно разузнаване

След като си осигури входна точка за достъп до инфраструктурата на организацията-жертва, атакуващият търси начини за движение по-навътре, за да си изгради топология на мрежата и да открие търсената информация. За целта той инфектира и други устройства – сървъри, домейни, крайни станции и дори IoT устройства.

Противодействие:

• Използвайте технологични решения, които да анализират съдържанието на мрежовия ви трафик и да защитават от мрежови атаки
• Използвайте силни пароли. Препоръчително е също да добавите MFA за всички администратори и за достъп до важните активи.

Седма фаза: Присъствие

Заветната цел на всеки атакуващ е да придобие контрол върху системата на жертвата или поне част от нея. След като това се случи, атакуващият прилага техники, с които запазва присъствието си върху машината, така че да може да я достъпи отново във всеки един момент. В повечето случаи се цели това присъствие да бъде запазено дори и ако системата бъде преинсталирана (за справка: UEFI Malware) или се направи опит да бъде почистена чрез антивирусни приложения.

Противодействие:

• Създавайте редовно резервни копия на важната за вас информация
• Ограничете достъпа до хранилищата на данни
• Използвайте надеждно криптиране
• Ако системата не е с голяма критичност – преинсталирайте я. Това е почти най-сигурния начин да елиминирате зловредния код.

Заключение

Компрометирането на една система или организация не е лесна задача, но както специалистите по информационна сигурност обичат да казват „100% сигурност няма“. При всички положения обаче разликата от 1% в защитата ви може да бъде критична и вие винаги трябва да бъдете максимално добре подготвени. Затова бихме ви посъветвали да се ориентирате към адаптирането на стандарт и добри практики за информационна сигурност. По този начин ще сте сигурни че няма да пропуснете важни стъпки и подходи при интегрирането и поддръжката на система за киберсигурност.