Топ новини

Последен ъпдейт на 23 юли 2024 в 13:37 ч.

Петък, 19 юли, най-вероятно ще остане в историята като Blue Screen Day – шега за едни, безсънна нощ за други, но най-вече: (нещо, което трябва да бъде) урок за всички. Защото в случа става въпрос за техническа грешка, довела до принудителното спиране на около 9 млн. машинни или около 1% от всички Windows компютри по света според официалната телеметрия на Microsoft и CrowdStrike (редактирано на 23 юли, 13:36: променихме първоначално циркулиращата цифра от 1 млрд. устройства, бел. авт.) – а като последствие, спирането на работата на летища, болници, транспортни компании – списъкът е безкраен.

Тук няма да разсъждаваме върху това до колко съвременната икономика е зависима от информационните технологии (безкрайно). Нито пък ще коментираме има ли смисъл сървъри да работят под Windows 10 (видяхме много коментари по темата).

Ще погледнем под един малко по-различен ъгъл: ами, ако това беше истинска хакерска атака?

Какво всъщност се случи и до какво доведе?

На 19 юли в 04:09 UTC, CrowdStrike пуска рутинна актуализация на конфигурацията на сензора за системи с Windows. Тази актуализация, която обикновено е част от текущите защитни механизми на платформата EDR Falcon, неочаквано предизвиква логическа грешка, водеща до системен срив и син екран (BSOD) на засегнатите системи.

Проблемът е бил идентифициран и отстранен до 05:27 UTC същия ден, но не преди да засегне значителен брой машини – работни станции, сървъри и дори банкомати.

Част от щетите, причинени от това:

• транспортен хаос (забавени полети и влакове, напред-назад за десетки пътници – видяхме и чухме разкази на хора, които са качвани и сваляни от самолета по над 20 пъти, докато екипажът проверява и записва на листче списъка с пътници)
• спрели болници
• проблеми в телекомуникациите и банкирането (включително и в България)

Какви уроци е хубаво да научим?

Като човек, който следи темата от години, най-много ме гложди един казус: че след всичките мемета, оплаквания, шеги, нападки и какво ли не – не видях никъде никой да зададе въпроса: супер, икономиката е скачен съд с информационните технологии. И да, в случая става въпрос за човешка грешка. Но какво ще стане, ако това е истинска атака? Готови ли сме да се справим с последиците от един такъв масов удар, който поне според скромните ми познания, далеч не е толкова невъзможен?

Един прост пример. Редица уеб приложения разчитат на CDN-и (мрежи са дистрибутирано съхранение на статични ресурси като JavaScript библиотеки). Преди по-малко от месец един такъв CDN се оказа, че сервира зловреден код под носа на редица разработчици. Какво пречи по подобен начин да се окаже, че на редица машини по света някой успее да достави зловреден код, който да доведе до подобен BSOD ад, който обаче не спира с изтриването на един сбъркан файл.

Какво ще стане, ако светът спре за повече от ден?

Затова, за мен е хубаво да научим урока си и да помислим дали организациите, в които работим и, които управляваме, са готови за реакция в такава ситуация.

И, ако не са, да поработим по темата да се подготвим, защото иначе – както е казал Яворов – „когато гръм удари, как ехото заглъхва“ – само че в случай на глобален проблем, за който решението не може да бъде открито за по-малко от час и половина, ехото може да заглъхва по-дълго, от колкото искаме. Или да не заглъхне ехото, а нашите уши.

Затова, с едно изречение: използвайте ситуацията и проверете политиките си за реакция при инцидент. А, ако още нямате такива: сега е моментът да ги създадете и започнете да развивате. Дори и да добавите в тях ситуацията, в която да създадете процедури и протоколи за offline работа.

По-високи глоби за фирми и управляващи, по-точни и ясни дефиниции и по-широк обхват на засегнатите дружества. Това, в едно изречение, представляват промените в Закона за киберсигурност, чиято основна функция е транспонирането на изискванията на Директива за мрежова и информационна сигурност (NIS 2) в законодателната ни рамка.

Освен това, тези изменения бележат повратна точка в подхода на страната към дигиталната защита и отразяват нарастващото значение на киберсигурността в съвременния свят и поставят България в съответствие с най-новите европейски стандарти. Въпреки че имплементацията на тези изменения ще представлява значително предизвикателство за много организации, дългосрочните ползи за националната сигурност, икономическата стабилност и доверието на гражданите са неоспорими.

Ето и по-детайлен анализ на предстоящите за обсъждане текстове.

1. Разширен обхват и нови концепции

Едно от най-значимите изменения е разширяването на обхвата на закона. Въвежда се ясно разграничение между “съществени” и “важни” субекти, което позволява по-нюансиран подход към регулацията. Най-общо, като съществени се класират:

• средни предприятия (предприятия, които имат по-малко от 250 души персонал и които с годишен оборот до 50 млн. EUR)
• доставчици на квалифицирани удостоверителни услуги и регистри на имена на домейни от първо ниво
• административни органи и др.

Част от новите концепции в закона са въвеждането на дефиниция за:

• “Значителен инцидент”: инцидент, причиняващ сериозно оперативно смущение или значителни финансови загуби
• “Киберзаплаха”: потенциална причина за инцидент, който може да навреди на мрежи и информационни системи
• Ситуация близка до инцидент”: събитие, което е могло да засегне отрицателно сигурността на системите, но е било предотвратено

2. По-големи задължени и по-сериозни санкции

Законът въвежда по-строги и детайлни изисквания за управление на риска в областта на киберсигурността. Като задължителни са посочени редица мерки за управление на риска, сред които:

• Политики за анализ на риска и сигурност на информационните системи
• Действия при инцидент
• Непрекъснатост на стопанската дейност и управление на кризи
• Сигурност на веригата за доставка
• Основни киберхигиенни практики и обучение
• Използване на многофакторни решения за удостоверяване на автентичността

Срокът за уведомяване при значителен инцидент е определен на 24 часа, а за инцидент – на 72 часа. Въведено е изискване и за окончателен доклад до един месец след инцидента, включващ подробно описание, вид на заплахата, приложени мерки и трансгранично въздействие

Санкциите, от друга страна, са увеличени значително:

• За съществени субекти: от 200 хил. лв. до 2% от общия световен годишен оборот, но не по-малко от 20 млн. лв.
• За важни субекти: от 100 хил. лв.  до 1.4% от общия световен годишен оборот, но не по-малко от 14 млн. лв.
• За управители или членове на управителни органи: от 1000 лв. до 100 хил. лв.
• Периодични санкции: 5 хил. лв. на ден за продължаващо неизпълнение (чл. 30а)

3. Засилен контрол и надзор

Новите разпоредби значително разширяват правомощията на контролните органи (чл. 27ж):

За съществени субекти:

• Планови и извънпланови проверки, на място или дистанционни
• Редовни и целеви одити на сигурността
• Извънпланови одити при значителен инцидент
• Проверки за сигурност, основани на оценка на риска
• Достъп до данни, документи и информация

За важни субекти:

• Проверки на място и последващ дистанционен надзор
• Целеви одити на сигурността
• Проверки за сигурност, основани на оценка на риска
• Достъп до информация и документация

4. Разширени отговорности на компетентните органи

Законът преразпределя и разширява отговорностите на ключови институции:

Министър на електронното управление (чл. 6, чл. 12):

• Създава и поддържа регистър на субектите
• Координира национална стратегия за киберсигурност
• Провежда политики за киберсигурност по веригата за доставки, криптиране, управление на уязвимости и др.

Национални компетентни органи (чл. 16):

• Извършват проверки и налагат санкции
• Координират обмена на информация
• Изготвят ежегодна оценка на риска за прилежащия им сектор

СЕРИКС (Секторни екипи за реагиране при инциденти с компютърната сигурност) (чл. 18):
– Предоставят оперативна подкрепа при инциденти
– Извършват наблюдение и анализ на киберзаплахи
– Осигуряват ранно предупреждение и динамичен анализ на рисковете

Сред другите акценти въвеждането на детайлен секторен подход за определени вертикали като енергетика, транспорт, банки здравеопазване, управление на услуги в областта на ИКТ, пощенски и куриерски услуги и др.

Предстои да видим как тези амбициозни промени ще се реализират на практика и как ще оформят дигиталното бъдеще на България. Едно е сигурно — страната прави решителна крачка към изграждането на по-сигурно и устойчиво цифрово общество, готово да посрещне предизвикателствата на 21-ви век.

 

Съвсем накратко, събрахме за вас най-значимите новини от сферата на киберсигурността за юни 2024 г.:

1. Болници на NHS бяха засегнати от голяма кибератака
Рансъмуер атака срещу Synnovis, доставчик на услуги в сектора за изследване на патологии, причини огромни смущения в болниците на NHS в Лондон. Атаката доведе до отмяната на над 200 спешни процедури и 3 хил. нехирургични прегледа, включително критични диагнози за рак. Инцидентът беше утежнен от недостиг на кръв тип О, което накара ръководителите на NHS да призоват за дарения.

2. Критична уязвимост в PHP
Беше открита нова уязвимост за отдалечено изпълнение на код (CVE-2024-4577) в PHP, засягаща множество версии, включително PHP 5, 7 и 8. Уязвимостта позволява произволно изпълнение на код и заобикаля съществуващите защити. PHP публикува корекции и потребителите се съветват задължигтелно да актуализират до най-новата версия.

3. Арестуван ключов доставчик на рансъмуер услуги
Украинската киберполиция арестува 28-годишен мъж от Киев, ключова фигура в разработването на криптори за рансомуер групите Conti и LockBit. Арестът беше част от международна операция, наречена „Операция Endgame“ и се очаква да окаже значително влияние върху тези печално известни рансyмуер групи.

4. Пробив в данните на Ticketmaster
Ticketmaster потвърди неоторизирана активност в своята база данни, след като хакери твърдяха, че са откраднали лични данни на 560 млн. клиенти. Хакерската група ShinyHunters поиска откуп от 500 хил. USD и по-късно предложи данните за продажба.

5. Уязвимости във VLC Media Player
VideoLAN разкри критични уязвимости както в десктоп, така и в мобилната iOS версия на VLC Media Player. Тези уязвимости биха могли да позволят отдалечено изпълнение на код и неоторизиран достъп до чуствителни данни. Потребителите се призовават да актуализират до последните версии (3.0.21 за настолни компютри и 3.5.9 за iOS).

6. Мащабна кампания за кибершпионаж, насочена към системите FortiGate
Разследване разкри широкомащабна кампания за кибершпионаж, експлоатираща уязвимости в системите FortiGate. Кампанията е компрометирала най-малко 20 хил. устройства в световен мащаб, включително тези на правителства и компании от отбранителната индустрия.

7. Уязвимост за отдалечено изпълнение на код без кликване в Microsoft Outlook
Открита беше и критична уязвимост за отдалечено изпълнение на код без кликване (CVE-2024-30103) в Microsoft Outlook. Този бъг позволява на нападателите да изпълняват произволен код чрез изпращане на специално създаден имейл, компрометирайки устройството върху който е стартиран клиента.

8. Опит за изнудване на Life360
Life360, компания за услуги за семейна безопасност, се сблъска с опит за криминално изнудване, включващ неоторизиран достъп до платформата за поддръжка на клиенти на Tile. Въпреки че чувствителни данни не са били компрометирани, засегната е клиентска информация, включително имена и имейл адреси.

Тези инциденти подчертават продължаващата важност на стабилните мерки за киберсигурност, бързото отстраняване на уязвимости и бдителността в лицето на развиващите се заплахи. Организациите и физическите лица се напомнят да се информират за най-новите съвети за сигурност и да прилагат препоръчаните защитни мерки.

В сложния и често сенчест цифров свят, значението на Threat Intelligence (TI) в оформянето на стратегиите за киберсигурност не трябва да бъде подценявано. Като професионалисти в областта на киберсигурността, ние разбираме, че защитата на цифровите активи излиза отвъд разполагането на защитни технологии; тя изисква дълбоко, стратегическо разбиране на възникващите заплахи. Тази статия разглежда как задълбоченето кибер разузнаване (Threat Intelligence) служи не само като защитно средство, но и като проактивен инструмент, който подпомага организациите в борбата срещу кибер престъпниците.

Какво представлява разузнаването на заплахи

Разузнаването на заплахи е синтез от събиране на данни, анализ и действия към потенциални или съществуващи заплахи. Тази разузнавателна информация е от съществено значение за разбирането на поведението на нападателите, техниките, инструментите и процедурите им.

Ефективният TI предоставя проактивен инструмент, като помага на организациите да предвидят и предотвратят потенциални зловредни действия срещу сигурността със стратегии, адаптирани специално за да контрират идентифицираните заплахи.

Зловредния софтуер – Сърцето на тъмнината

Анализът на зловредния софтуер е крайъгълен камък на разузнаването на заплахи. Всеки щам (версия) на зловреден софтуер носи в себе си ДНК на намеренията и способностите на своя създател. Чрез деконструкция на зловредния софтуер не само разкриваме механиката на неговата работа, но и набавяме знание за по-широкия контекст на заплахите на които сме подложени или ще бъдем подложени. Този анализ дава задълбочена информация и е важна част при разработването на ефективни противодействия и помага за покриване на уязвимости, за да предотвратящи бъдещи инфекции.

Стратегии за ограничаване и ликвидиране на зловредния софтуер

След разбирането на архитектурата на зловредния софтуер, професионалистите в областта на киберсигурността могат да разработят целенасочени стратегии за ограничаването и ликвидирането. Това включва използването на сандбокс среди заизучаване на поведението на зловредния софтуер, разработване на сигнатури за антивирусни системи и създаване на пачове за експлоатирани уязвимости. Освен това, непрекъснатото наблюдение и актуализиране на защитните системи са от съществено значение, тъй като нападателите развиват своите методологии

Кибер шпионажа – Лошия Кибер Агент 007

Кибер шпионажът представлява значителна заплаха, при която нападателите се стремят да проникнат в мрежи, за да откраднат данни, често с политическа, военна или икономическа цел. Разузнаването за заплахи играе решаваща роля в идентифицирането и намаляването на такива шпионски дейности. Чрез анализ на комуникационни модели, метаданни и аномалии в мрежата, експертите по киберсигурност могат да открият тайни операции, да ги припишат на техните източници и да въведат бариери за защита на чувствителна информация.

Колаборативна защита чрез споделяне на разузнавателна информация

Никоя организация не стои сама в борбата срещу кибер заплахите. Колаборативната защита чрез споделяне на разузнавателна информация усилва способността на отделните единици да се защитават срещу общи противници. Като участват в мрежи за разузнаване за заплахи, организациите могат да достъпят по-широк спектър от данни, получавайки прозрения, които иначе биха били недостъпни и подобрявайки колективните си защитни позиции.

Пейзажът на кибер заплахите постоянно се променя, движен от технологични напредъци и развиващите се тактики на нападателите. Стратегиите за киберсигурност трябва да бъдат адаптивни и с оглед в бъдещето. Включването на новаторски технологии като изкуствения интелект и машинното обучение може значително да подобри аналитичната сила на разузнаването на заплахи, позволявайки проактивни действия срещу потенциални кибер атаки.

Вместо заключение

Разузнаването на заплахи е повече от просто компонент на киберсигурността; то е съществена рамка, която дава информация на всички аспекти на цифровата защита. Като професионалисти в областта на киберсигурността, ние трябва да настояваме за силна стратегия TI, която не само следи заплахите, но и се адаптира и развива с тях. Инвестирането във всеобхватни начини за разузнаване за заплахи не е просто оперативна необходимост; това е стратегически императив, който осигурява устойчивост и конкурентоспособност във все по-цифровия свят.

Нека насърчаваме организациите да засилят своята позиция в областта на киберсигурността чрез иновативни решения за разузнаване за заплахи. Нека бъдем по-ангажирани към общностите по киберсигурност, споделяйки разузнавателна информация и използваме колективните знания за защита срещу неизвестното. Заедно можем да обърнем вълната срещу кибер заплахите и да осигурим нашето по-сигурно цифрово бъдеще.

United Health Group (UHG) е здравноосигурителна компания с присъствие във всички 50 щата на САЩ, която има договори с над 1.6 млн. лекари и специалисти по здравни грижи, както и с 8 хил. болници и други лечебни заведения. В UHG работят 440 хил. души в цял свят и е най-голямата здравноосигурителна компания в света по приходи (324.2 млрд. USD през 2022 г.).

Човек трудно би повярвал, че такъв конгломерат може да бъде лесно поставен на колене. Именно това се случва на 21 февруари 2024 г. На тази дата ransomware синдиката, известен като BlackCat успява да открадне и криптира данните на един от основните стълбове на UHG – Change Healthcare. Седмица след атакта от BlackCat/ALPHV официално се хвалят с постигнато от тях, а именно откраднати над 6TB данни съдържащи чувствителни данни:

• здравни досиета
• данни за здравни застраховки
• дентални картони
• данни за плащания
• заявки за претенции към застрахователи
• лични данни на пациенти (телефоннни нимера, адреси, номера на социални осигуровки – американският еквивалент на ЕГН, имейли и др.)
• лични данни на действащи американски военни

От този момент започва кошмара за много пациенти, медицински работници и здравни заведения в САЩ.

В началото на март BlackCat синдиката извършва така нареченият exit scam, като се пенсионира след получено плащане от 22 млн. USD.

На 23 април от UHG подвърждават, че са платили въпросните 22 млн. USD на престъпниците с цел да минимизират щетите за своите потребители и клиенти.

Преди броени дни става и ясно как е била извършена атаката и какви са били обстоятелствата позволили да се случи това „бедствие“:

• зараза със зловреден код от тип infostealer.
• липса на защита за работните станции (Endpoint Protection);
• липса на многофакторно удостоверяване (MFA);
• вероятно недостатъчен проактивен мониторинг;

Свидетелските показания на изпълнителният директор на UHG Andrew Witty показват, че всичко е започнало на 12 февруари 2024 г. когато престъпниците са използвали компрометирани идентификационни данни (credentials) за отдалечен достъп до портала Citrix на Change Healthcare – приложение, използвано за отдалечен достъп до настолни компютри.
Порталът не е изисквал многофакторна автентикация (MFA) за достъп. След като престъпниците от BlackCat са получили достъп, те са се е придвижвали в системите по по-сложни начини и са ексфилтрирали данните. Девет дни по-късно е бил детониран криптовируса им.

9 дни ? Звучи познато! Да, това е съвременната средна стойност на dwell-time.

След публикуване на тези свиделски показания, Alon Gal, който е CTO на Hudson Rock, оповестява нещо много интересно:

Ето как знаем, че компютъра който е бил компрометирал не е имал адекватна проактивна защита (Endpoint Protection) и/или мониторинг (EDR). Казаното от Alon Gal също подчертава и ролята на навременният actionable threat intelligence.

От статус портала на Change Healthcare (Optum) изглежда, че все още се справят с последиците от атаката:

Cisco и threat intelligence подразделението им (Talos) публикуваха информация относно 0day уязвимости в произвежданите от тях защитни стени от следващо поколение (NGFW) – ASA и FTD.

ArcaneDoor е кампания, която е най-новият пример за спонсорирани от държава хакерски операции, насочени към мрежови устройства за защита на периметъра. Този път жертви са клиентите на Cisco.

Припомняме скорошните подобни проблеми с PaloAlto и Fortinet.

Удобни цели

Периферните мрежови устройства са идеалната точка за проникване, когато става дума за кампании с цел шпионаж, защото са критичен път за данните и врата към частните мрежи на организациите. Този тип устройства трябва да бъдат рутинно и своевременно проверявани; да използват актуални хардуерни и софтуерни версии и конфигурации; и да бъдат внимателно наблюдавани от гледна точка на сигурността.

Придобиване на неоторизиран достъп в тези устройства позволява на атакуващият директно да проникне в организацията, да пренасочи или модифицира трафика и да наблюдава мрежовите комуникации. През последните две-три години наблюдаваме драматично и трайно увеличение на броя на атаките срещу NGFW, като засегнати са предимно доставчиците на телекомуникационни услуги и организациите от енергийния сектор – структури от критичната инфраструктура, които вероятно са стратегически цели от интерес за много чужди правителства.

Работейки с жертви и партньорски организации, Cisco разкрива сложна верига от атаки, която е използвана за имплантиране на персонализиран зловреден софтуер и изпълнение на команди. Въпреки че не успяват да идентифицират първоначалния вектор на пробива, установяват две критични уязвимости (CVE-2024-20353 и CVE-2024-20359).

Цели са и Microsoft Exchange сървъри

Освен това мрежовата телеметрия и информацията от партньорите в областта на threat intelligence показват, че хакерите зад тази кампания се интересуват и от Microsoft Exchange сървъри и мрежови устройства на други производители. Независимо от доставчика на мрежово оборудване, сега е моментът да се уверите, че устройствата са надлежно обновени, изпращат логове към SIEM и е конфигурирана многофакторна автентикация (MFA). Допълнителни препоръки, специфични за Cisco, вижте тук.

В рамките на продължаващото разследване е извършен и анализ на възможното приписване на тази дейност. Оценката се основава на виктимологията, значителното ниво на използваните умения по отношение на разработеният зловреден код и на способностите му да се “крие”, както и на идентифицирането и експлоатацията на 0day уязвимости. Поради тези причини с висока степен на увереност, се твърди, че тези действия са извършени от спонсорирана от държава хакерска група (state sponsored threat actor).

По-рано този месец Cisco предупреди за мащабни brute-force атаки , насочени към VPN и SSH услуги на устройства на Cisco, CheckPoint, Fortinet, SonicWall и Ubiquiti по целия свят. През март също така споделиха насоки и добри практики за предотвратяване на атаките свързани с компрометирани акаунти (password-spraying), насочени към VPN услуги за отдалечен достъп (RAVPN), конфигурирани на устройства Cisco Secure Firewall.

Как да действате

Препоръките за противодействие на текущата кампания и ArcaneDoor атака са:

• ASA устройствата да бъдат обновени до някоя от следните версии:
  • • 9.16.4.57
    • 9.18.4.22
    • 9.20.2.10
• FTD устройствата да бъдат надградени до v7.2.6
• Да бъдат проактивно проверени следните Indicators of Compromise:
  • След актуализиране на устройството до софтуерна версия, която съдържа поправката за CVE-2024-20359, трябва да се направи преглед на съдържанието на disk0:. Ако след актуализацията в disk0: се появи нов файл (например „client_bundle_install.zip“ или друг необичаен .zip файл), това предполага, че е бил инсталиран backdoor на въпросното устройство. Имайте предвид, че тъй като актуализираният софтуер не е уязвим към CVE-2024-20359, опасността вече няма да е активена.
  • Освен това администраторите могат да използват командата show memory region | include lina, за да идентифицират друг indicator of compromise (IOC). Ако резултата от командата показва повече от една изпълнима област на паметта (области на паметта с разрешения r-xp, вижте примерите по-долу), особено ако една от тези области на паметта е точно 0x1000 байта, това е знак за потенциална намеса от страна на хакерите.

    
    Изходни данни от командата „show memory region“ за компрометирано устройство (горе) спрямо чисто устройство (долу). 

Друга полезна информация и съвети относно ArcaneDoor атаката:
https://www.cyber.gc.ca/en/news-events/cyber-activity-impacting-cisco-asa-vpns 

https://cert.europa.eu/publications/security-advisories/2024-043/ 

Опасността е активна от поне 2-3 месеца и според уважаваният cybersecurity експерт Kevin Beaumont (aka GossiTheDog), Cisco не са действали по възможно най-добрият начин спрямо своите клиенти:

Последен ъпдейт на 10 май 2024 в 22:11 ч.

Като SOC Analyst и Network Defender, “умирам” да консумирам информация, която ми помага да съм в най-добрата си професионална форма, респективно да бъде полезна при защитата на поверените ни мрежи (инфраструктури). Поради тази причина, доклада на Sophos – It’s Oh So Quiet (?): The Sophos Active Adversary Report for 1H 2024 влиза в моята колекция като един от най-добрите, които съм чел наскоро.

Първата метрика, която е много важна и показателна, е така нареченият Dwell Time или иначе казано – времето за което дадена организация/фирма разбира, че е била компрометирана. Дефиницията на английски също помага да се разбере есенцията зад този термин:

“Dwell Time is a concept that emerged from the need to quantify how long a cyber threat or attacker can persist within an organization’s network before being discovered and mitigated. This metric is primarily concerned with the time gap between the initial compromise and the detection of the intrusion.”

Ако попитате много от колегите, които са от дълго време в сферата на информационната сигурност, ще Ви кажат, че средното време за откриване на пробив (Dwell time) е в порядъка на няколко месеца, средно 180 дни. Да, няма да са в грешка, но това число донякъде е имагинерно, ако не бъде подплатено със съответната статистика. Нека видим каква е тя към днешна дата:

6 дни ? Ok, доста се разминаваме с добре познатите 180 дни, да не би Sophos да са в грешка? Според PaloAlto Unit42 не са:

Статистиката от Mandiant, пардон Google, също показва, че ”dwell time” е доста по-кратък:

Супер! Бих се потупал по-гърба, ако не беше това последното: “Part of this is good work by defenders, but…”

Още по-актуална информация от скорошният M-Trends 2024 Special Report:

 

Какво “but” ?! Няма никакво “НО”, заслугата си е наша!

Добре, нека бъдем реалисти, трудно е да кажеш, че си открил пробива на време, когато ransomware note-a ти седи на Desktop-a и/или цялата ти информация се продава за няколко крипто стотинки в някой форум.

Цялата тази “пролиферация” на ransomware атаките също има огромно значение за намаляването на “dwell time”. Наскорошните опити за неутрализиране (нямам по-добра дума за превод на “takedown”) на Lokbit синдиката, потвърждават тезата, че ransomware атаките са все още “the thing that keeps you awake at night”!

Както от Sophos правилно отбелязват, “dwell time” е изоставащ индикатор в смисъл на това, че може да бъде изчислен едва след като нарушителите са били открити. Има и други индикатори, базирани на времето, които могат да помогнат на защитниците да открият подозрителна дейност в мрежата, ако, разбира се, следите за такива неща. Обрат в сюжета, трябва да следите! “Видимост” в мрежата, телеметрия и логове, както и възможността за анализ, корелация и обогатяване (enrichment) на тези данни са “допинга” от който се нуждаете, за да изпреварите лошите в тази напрегната надпревара с високи залози.

Нека погледнем още няколко интересни статистики и метрики от доклада на Sophos:

• призовава се предприятията да защитят и своите активни директории (AD), към които нападателите се насочват все по-често. Средното време за което бива компрометирана Active Directory е 0.64 дни (16 часа);
• 94% от ransomware атаките биват детонирани (изпълнение на криптирането) извън работно време; · Често при атака се използват така неречните „dual use” инструменти, като класацията се оглавява от SoftPerfect’s Network Scanner, AnyDesk и 7zip/ WinRAR. Много организации все още нямат достатъчно ясна представа за това какво е нормално и какво не е при използване на IT ресурси;
• Злоупотребата с RDP е достигнала нови висоти, като 90 % от атаките го използват за вътрешно странично движение (lateral movement), а 20 % – за външен отдалечен достъп;
• И сякаш огромният брой компрометирани акаунти/креденшъли не е достатъчен, 43% от организациите са пропуснали да активират MFA за своите външни услуги.

При положение, че за много от проблемите зад съответните статистики съществуват решения с които лесно може да се минимизира риска от успешна атака (application whitelisting е едно от тях)… Няма друг начин да се каже това: Когато съществува решение, което може да спре нападателя на пътя му, и то не се прилага, това е умишлена небрежност.

Shameless plug: колкото и да звучи просто и невероятно, много от организациите нямат възможност да се справят с предизвикателствата посочени по-горе. Вземете например резултатите от Shodan за публично достъпните RDP услуги върху български IP адреси:

Само ако имаше за кого да се обърнат за помощ, oh wait! Baseline #CyberSecurity сме партньорът на който може да поверите вашата защита.

Голямото празнично пазаруване крие много рискове както за клиентите, така и за самите търговци. От принудително спиране на бизнеса ви заради блокиране на компютрите ви до глоби заради източване на данни за клиентите ви – това са само част от щетите, които може да претърпите най-често заради подценяване на информационната си сигурност.

Офлайн или онлайн – ето няколко прости стъпки, които да предприемете, за да намалите риска от загуби за бизнеса си в един от най-активните търговски периоди на годината.

Какви са рисковете?

• Източване на данните за клиентите ви. Особено, ако сте онлайн магазин, използвате остаряла версия, неподдържана или лошо написана на платформа за електронна търговия като WooCommerce, OpenCart, Magento и т.н. Може да доведе до глоби по GDPR и репутационни щети.
• Експлоатация на магазина ви за скимиране (кражба) на кредитни и дебитни карти или зловредна реклама. Звучи далечно, но всъщност е доста често срещано явление. Може да доведе до блокиране на системата ви за електронни разплащания, спиране на рекламните ви акаунти – и де факто – на целия ви бизнес.
• Фалшифициране на бизнес комуникация. Представете си, че изпращате фактура на ваш клиент. В процеса на изпращане някой подменя IBAN-а на сметката ви и клиентът ви плаща, но на някой друг. Man in the middle или манипулиране на служебна кореспонденция е често срещано явление и в нашата практика.
• Блокиране на бизнеса ви след атака с криптовирус. Дори и да имате 1компютър, с който работите на каса, ако той бъде криптиран – това означава спиране на работата ви поне за 1 ден.
• Източване на чувствителна информация като оферти, договори и др. Ако служебните ви системи не са изградени по сигурен начин, може да позволят неоторизиран достъп до администраторски акаунти – което от своя страна да даде на атакуващия права да прави каквото пожелае. Особено, ако служителите ви ползвате слаби пароли или не сте въвели дву-факторна автентикация. API (интерфейс за програмиране на приложения).

Какво да предприемете вие?

За да не действате смело и безотговорно, ето няколко прости стъпки, които да следвате, за да намалите до минимум риска от нежелано прекъсване на работата ви в следващите няколко месеца. Голямата част от тях не изискват специални разходи – а са въпрос на решение от ваша страна:

• Проверете всички дигитални активи – компютри, сайтове, сървъри и т.н. за актуалност и ъпдейтнете софтуера, с който работите
• Ъпдейтнете всички пароли и въведете дву-факторна автентникация
• Надградете защитата си с технически средства. Никога не е твърде рано да създадете многопластова система за защита на организацията ви – антивирус, защитна стена, XDR – това са само част от решенията, които в комбинация помежду си могат да са в основата на ефективна защита срещу случайна или дори таргетирана атака срещу бизнеса ви
• Редовно обучение на персонала – практиката показва, че най-слабото звено е човешкия фактор. Обучавайте регулярно екипите си на базови правила за работа с информационни технологии
• Планиране на реакция при настъпване на инцидент или събитие. Планът за реакция при инцидент ви гарантира, че дори и най-лошото да се случи, ще ограничите щетите като възстановите работата си максимално бързо. Изискайте не backup, а recovery план от доставчика си на киберсигурност – ако имате такъв. Ако нямате, потърсете сега

Основното правило, което е хубаво да следвате е: действайте навреме, за да имате максимално безпроблемен коледен търговски сезон. Инвестирайте в решения за киберсигурност, преди да стане инцидент. След него може да е твърде сложно, а дори и невъзможно бизнесът ви бъде възстановен в нормално състояние за адекватно време.

Истински добрите хакери целят да останат скрити, за да могат да се възползват от жертвите си максимално дълго. Но следите от злонамерената им дейност остават и може да си спестите много пари, време и нерви, ако сте малко по-внимателни. Ето петте най-често срещани признака, че може да сте станали жертва на онлайн измама:

1. Странни плащания от сметките ви (или дори заявени кредити)
   Ако личните ви данни бъдат компрометирани, могат да бъдат използвани за нежелани трансакции от профилите ви в системи за разплащания или банкиране. Или дори да кандидатстват от ваше име за кредити, които в последствие да усвоят.
2. Поръчали сте продукт онлайн, който така и не пристига
   Онази страхотна оферта от онзи сайт, който чу за пръв път така и не пристига. Може да сте се хванали на въдицата на мним електронен магазин, от който да сте поръчали, след което хакерите да се възползват от данните за кредитната ви карта (тя вече е тяхна).

3. Чат романсът ви приключи внезапно.
   Щетите от ужилени от измамници онлайн Казанови се оценяват на почти 1 млрд. USD годишно. И това число обхваща само онлайн тези жертви, за които знаем.

4. Нямате достъп до профилите си в онлайн услуги
   Ако измамник получи достъп до профилите ви, ще опита да смени паролите и да получи контрол над тях. Това може да доведе до разкриване на лична информация и злоупотреби с банкоите ви карти, ако нейните данни са запаметени във вашия профил.
5. Инвестиции в крипто валути.
   Жертвите се примамват с нищожни суми за инвестиране в крипто валути и с обещания за огромна възвръщаемост. В същото време профилът на жертвата показва обещаната „печалба“, но реална възможност за получаването й липсва.

А какво да правите, когато станете жертва на измама? Първата стъпка е да се свържете с вашата банка – тя може да ви помогне като спре трансфера на средства към измамниците. Втората е да начуите урока си и да предприемете стъпки, за да ограничите риска в бъдеще:

• Използвайте силни и уникални пароли, подкрепени с 2-факторна автентникация
• Ъпдейтвайте операционните системи и приложенията, с които работите и се забавлявате на устройствата си
• Не споделяйте и не запазвайте лична и финансова информация току-така

Разузнавателните агенции от месеци предупреждават, че нападението на Русия срещу Украйна ще бъде придружено от кибератаки, включително такива срещу критична държавна инфраструктура. Подобно на прекъсванията на електроснабдяването в Киев през 2015 г., за което беше обвинена Русия.

През януари в Украйна се появи рансъмуерът WhisperGate, насочен към структури на  държавната администрация. Преди дни компанията за киберсигурност ESET докладва за нов зловреден софтуер, Hermetic Wiper, изтриващ безвъзвратно данните на афектираните системи (помислете дали имате надежден бекъп!).

Съвсем наскоро и Агенцията за киберсигурност и инфраструктурна сигурност на САЩ призова американските компании да укрепят своята защита.

Войната е „идеалният“ бизнес

Логично, войната в Украйна доведе до покачване стойността на акциите на много компании в сектор Киберсигурност. Инвеститорите в световен мащаб залагат на това, че търсенето на специфични продукти и услуги за киберзащита  нараства и ще нараства с ожесточаването на конфликта.

Като добавим масираните DDoS атаки спрямо важни сайтове на украинското правителство, банки  и медии, разбираемо е защо акциите на Cloudflare, Crowdstrike, Palo Alto, Mandiant и др. се покачиха с 10-12 %.

Причина за поскъпването обаче е не само моментната ситуация, която е поредния исторически урок, който света получава. През 2017 г., зловреден софтуер с прякор „NotPetya“, предназначен да атакува критичните информационни системи в Украйна, успя да причини щети за повече от 10 млрд. USD по целия свят, след като буквално излезе извън контрола на неговите създатели. Засегнати бяха системите на други правителства, големи компании като Maersk и стотици хиляди малки бизнеси (като вашия!).

Да припомним

Киберпрестъпността е генерирала 3 трлн. USD през 2015 г., а към 2025 г. очакванията са тези обороти да достигнат 10-11 трлн. USD (според вас, от кого са взети тези пари?). Не е учудващо, че киберпрестъпността се е превърнала  в един от основните източници на приходи за групировки и режими. Постъпления в криптовалути все още лесно могат да се прехвърлят, изпират и узаконяват, поради слабите регулаторни рамки в редица държави.

Ситуацията в България

Министерство на електронното управление обяви, че са предприети действия, съвместно с отдел „Киберпрестъпност“ към ГДБОП в МВР, за филтриране или преустановяване на трафика от над 45 хил. IP-адреса, от които са извършвани опити за зловредна намеса в електронни системи или мрежи на страната. Това е стъпка в правилната посока на национално ниво,  но все още няма ясно послание към бизнеса и гражданите как да подготвят собствената си защита.

В нашата страна продължава да битува заблудата, че родните бизнеси са икономически неатрактивни за киберпрестъпниците, които са заети с далеч „по-важна“ работа. Това изобщо не е така: на практика не съществува регион или бизнес, който да не е интересен за киберпрестъпността.

Отпуснете бюджетите за ИТ

Не чакайте да пострадате, за да подсигурите дейността на дружествата си. Позволете на ИТ екипа си да се мобилизира и да подобри киберсигурността. Много компании в България за първи път откриват тази необходимост, просто защото някой западен партньор го изисква от тяхното дружество.

Родния бизнес час по-скоро трябва да започне да се допитва до професионалисти, които да го посъветват какво и как да предприеме, вместо да харчи пари за решения от типа „one size fits all”, преди да се е уверил, че те са подходящи за него.

Нашият Security Operations Center (SOC) oперира успешно от шест години в България и извършва наблюдение на инфраструктурата на нашите клиенти. Силно препоръчвам на компаниите да започнат да  използват подобни услуги, което ще им спести пари и проблеми.

Абсолютно съм съгласен с Шломо Крамер, съосновател на Checkpoint, който твърди, че предприемането на мерки в последната минута е по-скоро резултат от липса на информираност, а не се дължи на липса на възможности. Възползвайте се от наличните възможности навреме и живейте и развивайте бизнеса си спокойно!