Таргетирани атаки

Усъвършенствана техника за кибератаки използва Windows Defender Application Control (WDAC), за да деактивира EDR.

WDAC е въведена с Windows 10 и Windows Server 2016 и предоставя на организациите фин контрол върху изпълнимия код на техните устройства. Експерти по сигурността обаче откриват, че хакерите могат да използват тази функция в своя полза. Това потенциално оставя цели мрежи уязвими за атаки.

Техниката позволява на нападатели с административни привилегии да изготвят и внедрят специално разработени политики за WDAC. Те могат ефективно да блокират EDR по време на зареждането на системата. По този начин нападателите работят без ограниченията на тези критични за сигурността решения.

Атаката може да бъде извършена по различни начини – от насочване към отделни машини до компрометиране на цели домейни. В най-тежките сценарии нападател с права на администратор на домейн може да разпространи злонамерени WDAC политики в цялата организация.

Атаката включва три основни фази:

• атакуващият създава персонализирана WDAC политика, която позволява на собствените му инструменти да се изпълняват и блокира решенията за сигурност. След това тази политика се поставя в директорията C:\Windows\System32\CodeIntegrity\ на целевата машина;
• нападателят рестартира крайната точка, за да приложи новата политика;
• при рестартиране тя влиза в сила, като не позволява на EDR да се активира и оставя системата уязвима за по-нататъшно компрометиране.

Откриването на този тип атаки е предизвикателство заради използването на легитимни функции на Windows. Но за да смекчите тяхното въздействие, трябва да предприемете следните мерки:

• внедрете централни WDAC политики, които отменят локалните промени. Това гарантира, че злонамерените правила не могат да влязат в сила;
• прилагайте принципа на най-малките привилегии. Ограничете разрешенията за промяна на WDAC политиките и записите в чувствителни папки;
• деактивирайте или защитете локалните администраторски акаунти с инструменти като Local Administrator Password Solution (LAPS) на Microsoft.

С усъвършенстването на инструментите за сигурност се усъвършенстват и методите за тяхното преодоляване. Това подчертава необходимостта от многопластов подход към киберсигурността и постоянна бдителност от страна на бизнесите.

Доскоро се смяташе, че обикновено за да бъде пробита една Wi-Fi мрежа, нападателят трябва да е физически близо до точката за достъп. Новопоявилата се тактика, наречена Nearest Neighbor, обаче обори категорично това разбиране.

Тя разкри, че дори добре защитената безжична мрежа може да се превърне в удобна входна точка за отдалечени нападатели. За целта те просто трябва да компрометират друга, по-уязвима компания, намираща се в същата или съседна сграда.

Как се случва атаката Nearest Neighbor?

Представете си хакерска група, която планира да проникне дистанционно в дадена организация. Тя събира информация за жертвата си, проучва външния ѝ периметър и успява да се сдобие с идентификационните данни на служители от масиви с изтекли пароли. Но не открива уязвимости, които да могат да бъдат използвани. В същото време външните услуги на организацията са защитени с MFA, така че само паролите не са достатъчни за достъп.

Един от потенциалните методи за проникване може да бъде корпоративната Wi-Fi мрежа. Това важи с още по-голяма сила, ако има такава за гости, която не е достатъчно изолирана от основната.

Тук обаче идва един проблем: хакерите са на другия край на земното кълбо и не могат физически да се свържат с Wi-Fi мрежата на организацията. Отговорът е тактиката Nearest Neighbor.

При нея нападателите:

• откриват по-слабо защитена организация, физически разположена в обхвата на целевата Wi-Fi мрежа;
• пробиват нейните системи и получават достъп до тях;
• компрометират устройство, оборудвано с безжичен модул;
• сканират Wi-Fi средата чрез него и откриват SSID на мрежата на целевата компания;
• използват компрометираното устройство като мост и се свързват с целевата Wi-Fi мрежа.

По този начин нападателите проникват в периметъра на жертвата. След това те могат да продължат с основните си цели – кражба на информация, криптиране на данни, наблюдение на дейността на служителите и др.

Как да се предпазите

Nearest Neighbor не е теоретична заплаха. Тази тактика вече се използва от ATP групите.

За да не станете жертва на подобна атака, трябва да се отнасят към сигурността на своите Wi-Fi мрежи изключително отговорно.

Ето пет основни стъпки, които могат да ви защитят:

1. Уверете се, че Wi-Fi мрежата за гости е наистина изолирана от основната мрежа.
2. Засилете сигурността на корпоративния Wi-Fi достъп чрез 2FA с еднократни кодове или сертификати.
3. Възприемете Zero Trust модела за сигурност.
4. Използвайте усъвършенствана система за откриване и предотвратяване на заплахи.
5. Ако не разполагате с висококвалифицирани вътрешни специалисти по киберсигурност, използвайте външни такива.

Нов тип атака използва стандарта SD Express, за да получи директен достъп до паметта на устройството чрез неговия четец на SD карти.

DaMAgeCard заобикаля традиционните мерки за сигурност. Той позволява на нападателите да извличат чувствителни данни или да инжектират зловреден код, без да имат физически достъп до целевото устройство.

Стандартът SD Express е въведен с цел повишаване на скоростта на пренос на данни в SD картите. С него те могат да работят както в режим SDIO, така и като PCIe/NVMe устройство. Това означава, че те могат да взаимодействат директно с шината за памет на системата. Тази възможност, макар и полезна за производителността, въвежда значителни рискове за сигурността, когато не се управлява правилно.

Атаката използва способността на SD Express картите да превключват между двата режима, показват в своя демонстрация от Positive Labs. Когато се поставят, хост контролерът обикновено започва в режим SDIO, след което преминава в PCIe. Той обаче може да бъде заблуден чрез емулиране на това взаимодействие.

Последиците от DaMAgeCard са сериозни. Тя може потенциално да:

• извлича чувствителни данни – ключове за криптиране или всякаква информация, съхранявана в оперативната памет;
• инжектира зловреден код, което да доведе до постоянни инфекции със зловреден софтуер или до неоторизиран контрол върху устройството;
• неутрализира традиционните протоколи за сигурност като IOMMU (Input-Output Memory Management Unit), което прави системите уязвими.

Фотографи, геймъри и други потребители, които се нуждаят от високоскоростен трансфер на данни, бързо възприемат SD Express технологията. Както се вижда обаче, тя отваря нови вектори за атака. Не забравяйте, че производителността никога не трябва да бъде за сметка на сигурността.

Известната група за ransomware атаки Black Basta е разширила тактиките си за социално инженерство с чат съобщения в Microsoft Teams и злонамерени QR кодове. Чрез тях тя улеснява първоначалния достъп до таргетираните системи, за да може впоследствие да получи неоторизиран достъп до чувствителни данни на организациите. 

Според компанията за киберсигурност ReliaQuest новият тип фишинг атака протича така: 

• нападателите добавят целевите потребители към чатове с външни акаунти, използващи Entra ID. Те са маскирани като служители на отдела за поддръжка или администратори; 
• в рамките на тези чатове целевите потребители получават QR кодове. Домейните, използвани за тази фишинг дейност, са пригодени да съответстват на конкретната организация; 
• QR кодовете насочват потребителите към зловредна инфраструктура. Това полага основите за последващи техники за социално инженерство и внедряване на инструменти за дистанционно наблюдение и управление. 

За да се защитите от тази развиваща се заплаха: 

• деактивирайте комуникацията от външни потребители в рамките на Microsoft Teams или я ограничете до определени доверени домейни; 
• въведете агресивни политики за борба със спама в рамките на инструментите за сигурност на електронната поща; 
• активирайте задължителната регистрация за Microsoft Teams, особено за функцията ChatCreated; 
• инструктирайте служителите си да бъдат бдителни срещу потенциални кампании за социално инженерство; 
• осигурете постоянно обучение и програми за повишаване на осведомеността относно най-новите тактики за фишинг. 

 

 

Aгенциите за киберсигурност на САЩ, Обединеното кралство, Канада, Австралия и Нова Зеландия предупредиха за нова мащабна ботнет мрежа, управлявана от компания, свързана с китайското правителство. Тя се състои от 260 000 устройства – от уебкамери до рутери – работи със зловреден софтуер Mirai и се използва за DDoS атаки, компрометиране на мрежи или за разпространение на зловреден софтуер.  

Зад нея стои китайската Integrity Technology Group. Според ФБР тя функционира от средата на 2021 г. и показва „дейност, съответстваща на тактиките, техниките и инфраструктурата“ на групата за киберзаплахи Flax Typhoon, известна още като RedJuliett и Ethereal Panda. 

Устройства, превърнати в част от мрежата, са открити в Европа, Северна и Южна Америка, Африка, Югоизточна Азия и Австралия. На Стария континент се падат 24,9% от нея. 

За да ограничите риска вашето устройство да стане част от подобна мрежа:  

• Инсталирайте редовно новопубликуваните софтуерни пачове; 
• използвайте силни пароли и двуфакторна автентикация; 
• деактивирайте неизползвани услуги и портове. 

Подкрепяните от Русия и Северна Корея хакери отдавна са сериозен проблем за киберсигурността на бизнеса и правителствените системи навсякъде по света. Това важи с още по-голяма сила за САЩ и Европа, а по всичко личи, че тази тенденция се задълбочава.  

Хакери на руското военно разузнаване атакуват ключови сектори на държави от НАТО

APT групи (Advanced Persistent Threats) към специализирано звено на Главното разузнавателно управление на руския Генерален щаб, използващи иновативни технологии като изкуствения интелект, се насочват към критични сектори на държави членки на НАТО и техни съюзници. Според федералните власти на САЩ и девет други западни служби в списъка с потенциални цели влизат организации от сферата на транспорта, енергетиката, здравеопазването, правителствените и финансовите услуги и т.н.  

В рамките на разследването са документирани повече от 14 000 случая на сканиране на домейни в поне 26 държави членки на НАТО и още няколко от ЕС. Нападателите са компрометирали уебсайтовете на жертвите, сканирали са инфраструктурата им и са ексфилтрирали данни. 

Свързаните с Москва групи са използвали известни уязвимости, като сред наблюдаваните активни експлойти са такива срещу продуктите на Atlassian Confluence Server и Data Center, IP камери на Dahua и Sophos Firewall.  

Пхенян подготвя вълна от кибератаки срещу организации за криптовалути 

В същото време севернокорейски групи подготвят вълна от кибератаки срещу „организации с достъп до големи количества активи или продукти, свързани с криптовалута“. От ФБР предупреждават, че се очаква кампанията да бъде базирана на особено опасни тактики за социално инженерство, включително силно персонализиране, което ще я направи изключително убедителна. 

През последните няколко месеца федералното бюро е засякло различни спонсорирани от Пхенян групи, проучващи цели, свързани с борсово търгувани криптофондове (ETF).  

Предстоящите атаки могат да включват както кражба на криптовалути, така и внедряване на зловреден софтуер. От ООН изчисляват, че досега при подобни кампании севернокорейските хакери са откраднали около 3 млрд. долара в криптовалути, но сегашната вълна от кибератаки може да се окаже още по-трудна за откриване от предишните. 

В нейните рамки се очаква хакерите да се представят за специалисти по набиране на персонал и да се насочат към служители от различни сектори. Те дори може да кандидатстват за работа в различни западни организации и ако бъдат наети, да извършват злонамерена дейност отвътре. 

Обикновено подобни атаки започват с фалшиви предложения за работа или с файлове, съдържащи „троянски кон“, маскирани като PDF, Virtual Network Computing (VNC) клиенти или софтуер за отдалечени конференции. Тези злонамерени файлове често се изпращат под прикритието на предложения за наемане на работа, оферти за специалисти на свободна практика или дори идеи за инвестиции.  

„Компаниите, особено в криптосектора, трябва да бъдат предпазливи по отношение на служителите, които се занимават с лични дейности като търсене на работа на устройства с достъп до фирмена информация, тъй като нападателите се насочват предимно към идентификационните данни за вход и криптопортфейлите. Освен това организациите трябва внимателно да проверяват потенциалните инвестиционни партньори, за да се уверят в тяхната автентичност“, съветва Анди Гарт, директор по правителствените въпроси в ESET. 

Над 445 хил. DDoS атаки или с 45% повече спярмо миналата година са засечени през първото полугодие на 2024 г. по данни на Gcore Radar Report.

Най-мощната атака през изследвания период е достигнала 1,7 Tbps, докато през 2023 г. тя е била 1,6 Tbps. За контекст, дори атака от 300 Gbps може да спре достъпа до незащитен сървър.

Повечето от тях са били кратки – под 10 минути, но най-дългата е продължила цели 16 часа.

Компаниите за онлайн залагания са най-честите цели на DDoS атаки с 49% от общия брой на инцидентите, но най-голям ръст е регистриран в технологичния сектор – удвояване до 15%. Това обаче далеч не означава, че останалите индустрии не са заплашени от DDoS атаки. Напротив – независимо от големината, региона и сферата, в която оперира една компания, тя може да стане жертва на атака за отказ на услуга.

Затова ви съветваме да:

• внедрите услуги за защита от DDoS;
• използвате Web Application Firewall (WAF);
• ограничите броя на едновременните заявки към сървърите си;
• разработите план за реакция при инциденти.

Списъкът на киберкомпаниите, засегнати от свързаната със SolarWinds supply chain атака продължава да нараства.

Palo Alto Networks, Fidelis, Qualys и Mimecast са поредните, разкрили троянизирани версии на приложението на SolarWinds (Orion) в своите вътрешни мрежи.

Доставчикът на софтуер за киберсигурност и мрежово оборудване, Palo Alto Networks, е открил два инцидента със сигурността си още през есента на 2020 г. Атаките са били неуспешни и са свързани със софтуера на SolarWinds, едва след разкритието на пробива във FireEye.

Троянизирана версия на приложението Orion са разкрили и от киберкомпанията Fidelis. Инсталацията е направена още през май 2020 г., като част провеждана оценка на софтуера, и е останала изолирана в тестова среда.

Вниманието към Qualys пък се насочи след като „corp.qualys.com“ се появи в списък на нови домейни, използвани от хакерите на SolarWinds за вторични атаки.

Might be helpfull with the SolarWinds/SUNBURST data to combine one another, so here’s all the data (subdomain, region, first seen date, decrypted DGA) that I’m personally aware of in a Google sheet atm. Feel free to comment with new or updated information https://t.co/Kln8e2eUm6

— Kira 2.0 (@VriesHd) December 17, 2020

Qualys твърди, че приложението Orion е инсталирано само в лабораторна среда за целите на тестването, отделно от основната мрежа.

Най-силно засегнат изглежда е Mimecast – доставчик на продукти за защита на имейли. Компанията разкри, че хакерите са проникнали в мрежата й и са получили достъп до акаунтите в Microsoft 365 на някои от клиентите й. Пробивът е осъществен чрез цифрови сертификати, използвани от един от продуктите за сигурност на Mimecast.

Последен ъпдейт на 16 януари 2021 в 15:53 ч.

Експлоатирането на уязвимости срещу платформата на SolarWinds – Orion, използванo в компрометирането на американското правителство, продължава да разширява мащаба си. Поредното развитие по казуса е открито от компанията за киберсигурност CrowdStrike – става въпрос за уязвимост, озаглавена Sunspot.

Благодарение на нея, хакерите могат да инжектират backdoor в платформата Orion на SolarWinds. Този зловреден код наблюдава изпълняваните системни процеси и замества един от изходните файлове със друг зловреден софтуер – SUNBURST. Част от функционалността на Sunspot е включването на защити, които да попречат присъствието му да бъде разкрито и да гарантират успеха на „мисията“ му.

Към момента общият брой на известните жертви на уязвимостите в Orion вече е над 18 хил. Сред тях са редица американски правителствени агенции.

“Щамът” на Sunspot не е непознат на разследващите supply chain атаката. До момента той е наричан по-различен начин от различните киберизследователи – StellarParticle (от CrowdStrike), UNC2452 (от FireEye) и Dark Halo (от Volexity).

Sunspot е поредният злонамерен софтуер, свързан с най-големия киберпробив от години. До момента станаха известни:

• Sunburst, инсталирал троянски кон в платформата Орион по време на автоматична актуализация
• Teardrop, използван за инсталиране на софтуерно устройство за навигация (Cobalt Strike beacon)
• SuperNova, внедрен като DLL файл, който позволява на атакуващите да изпращат, компилират и изпълняват C# код от разстояние

Самоличността на хакерите на SolarWinds все още не е разкрита. Въпреки това Kaspersky направи връзка с известна по-рано група за кибершпионаж. Установи, че задната врата на Sunburst има припокривания на функции с Kazuar.NET backdoor, обвързан условно с руската хакерска група Turla.

Разбира се, възможно е нападателите да са били „вдъхновени“ от кода на Kazuar или и двете групи да са получили своя зловреден софтуер от един и същ източник или пък кодът да е използван в атаката специално, за да обвини Turla и да замеси Москва…

Междувременно, ФБР също разследва предполагаема руска следа в атаката срещу американското правителство.

Топ-новината в областта на киберсигурността е мащабният пробив в мрежата на Министерство на финансите на САЩ. FireEye вече публикува подробности относно инцидента със supply-chain атаката към SolarWinds.

В последните дни попаднахме на друго интересно проучване – на пионера в разследването на инциденти с оперативната памет, Volexity. Компанията  добавя  детайли и индикатори, свързани с компрометирането на сигурността, което засяга и клиентите на софтуерната платформа Orion на SolarWinds.

Още от 2019 до средата на 2020 г. Volexity успява да засече компрометирани сървъри, атаките към които носят почерка на същата група (UNC2452), която FireEye свързва с атаката към SolarWinds. Тъй като по това време подробности относно групата не са били известни, Volexity я наричат Dark Halo.

Общото между действията на Dark Halo и атаката към Orion на SolarWinds

Най-голямото доказателство за връзка, Volexity намира в домейните за C2 комуникация на зловредния софтуер, описани в доклада на FireEye:

• appsync-api.us-west-2.avsvmcloud[.]com
• freescanonline[.]com
• lcomputers[.]com
• webcodez[.]com

В първите подобни инциденти, разследвани от Volexity, са били открити множество инструменти, задни врати (Backdoor) и инжектирани зловредни кодове, които не са били използвани постоянно, а само при нужда – за ексфилтриране на точно определена информация.

Според доклада на Volexity, три големи инцидента се свързват с групата Dark Halo. Ние избрахме да се спрем на втория от тях, тъй като той дава най-ясна представа за една от техниките, използвана при ексфилтрирането.

Какво е Duo

Duo е дъщерна компания на гиганта Cisco, която предоставя лесен начин за интегриране на многофакторна автентикация (MFA) при достъп до приложенията на различни доставчици. В това число О365, ERP системи, VPN и т.н. Сред най-големите клиенти на Duo са US Department of Defense, US Department of Homeland Security, SalesForce, NIST и т.н.

Как се заобикаля Duo MFA

В разследван инцидент, свързан с Dark Halo, Volexity са наблюдавали как групата осъществява достъп до имейл акаунта на потребител, чрез OWA, при положение, че целевата пощенска кутия е била  защитена с MFA. Логовете от Exchange сървъра показват, че нападателите предоставят потребителско име и парола, като не им е изискано допълнително удостоверяване чрез Duo. В същото време, логовете от сървъра за удостоверяване на Duo не показват да са правени опити за влизане във въпросния акаунт. Volexity успява да потвърди, че не е имало прихващане на сесия и/или дъмп на паметта на OWA сървъра, а че нападателите са използвали бисквитка (cookie), свързана с Duo MFA сесията, наречена duo-sid.

Разследването на Volexity установява, че нападателите са имали достъп до секретния ключ за интегриране на Duo (skey) от OWA сървъра. Този ключ им е позволил да генерират предварително изчислена стойност, която да бъде зададена в бисквитката duo-sid. След успешно удостоверяване с парола, сървърът е оценил бисквитката duo-sid, като валидна. Така нападателите, разполагайки с потребителско име и парола са успели да заобиколят напълно MFA.

Важно е да се отбележи, че това не е уязвимост при доставчика на MFA: необходимо е всички пароли, свързани с ключовете за интеграции, като тези с доставчика на MFA, да бъдат променени след подобен инцидент. При това е особено важно паролите да бъдат сменени с такива, които по нищо не наподобяват старите (Пример: Да промените Sofia2020 на Plovdiv2020 не е добро решение!).

Става дума за продължително организирана атака

Друга интересна подробност, e че още през юли 2020 г. Volexity  са идентифицирали подозрителни административни команди и ActiveSync аномалии в Exchange инфраструктурата на клиента, чийто инцидент са разследвали. След обстойно проучване е било потвърдено, че има пробив в мрежата и крайните станции, като атакуващите са използвали команди, свързани с експортирането на мейли и ексфилтрирането им през Outlook (OWA). Много от детайлите описани тогава, се припокриват с доклада на FireEye, включително и такива, свързани с евентуална инфекция на SolarWinds машината на клиента.

За съжаление Volexity не са успели да опишат в детайли компрометирането на  SolarWinds и да предоставят нужните доказателства на разработчика. Съответно не е имало възможност за по-нататъшно разследване и разкриване на проблема със supply-chain атаката по-рано.

През последните дни ви предоставяме различни анализи и гледни точки за това как се е стигнало до хака на американската администрация. Основната ни цел е да насочим вниманието на отговорниците по сигурността (CSO и др.) към различните пробойни и недостатъци и да не подценяват дребните пропуски. Защото хакерите търсят най-слабото ви звено.