Məni aldat, əgər edə bilsən: sosial texniki penteslərin keçirilməsi xüsusiyyətləri

Belə bir vəziyyəti təsəvvür edin. Sərin oktyabr səhəri, Rusiya regionlarından birinin bölgə mərkəzindəki layihə institutunun kadrlar şöbəsinin əməkdaşı, institut saytında bir neçə gün əvvəl yerləşdirilmiş iş elanlarından birinə daxil olur və orada bir pişiyin fotosunu görür. Səhər tezliklə cansıxıcı olmaqdan çıxır...

Bu məqalədə Group-IB-nin audit və konsultasiya departamentinin texniki rəhbəri Pavel Suprunyuk, sosial texniki hücumların praktiki müdafiə qiymətləndirmə layihələrində hansı yer tutduğuna, onların hansı qeyri-adi formaları ala biləcəyinə və bu hücumlardan necə qorunmaq lazım olduğuna dair məlumat verir. Müəllif qeyd edir ki, məqalə nəzərdən keçirmə xarakteri daşıyır, lakin əgər hansısa bir aspekt oxucuları maraqlandırarsa, Group-IB mütəxəssisləri şərhlərdə sualları cavablandırmağa hazırdırlar.

Hissə 1. Niyə bu qədər ciddi?

Gəlin, pişiyimizə qayıdaq. Bir müddət sonra kadrlar şöbəsi şəkili silir (screenshotlar burada və daha sonra qismən örtülüb, gerçək adları açıqlamamaq üçün), amma bu şəkil inadkarcasına geri dönür, yenidən silinir və bu, bir neçə dəfə baş verir. Kadrlar şöbəsi anlayır ki, pişiyin niyyəti ciddidir, o, getmək istəmir, ona görə də veb proqramçını köməyə çağırır — veb saytını hazırlayan və onunla tanış olan bir insan. Proqramçı sayta daxil olur, bezdirici pişiyi bir daha silir, sonra onun kadrlar şöbəsinin adına yerləşdirildiyini aşkar edir, və bu hesapın şəbəkə hooliqanlarına sızdığını ehtimal edir, sonra onu dəyişdirir. Pişik daha çıxmır.

Həqiqətən nə baş verdi? İnstitutun daxil olduğu şirkətlər qrupuna qarşı Group-IB mütəxəssisləri, Red Teaming formatında (sadəcə desək, bu, hədəf şirkətinizə qarşı dəqiq hücumların simulyasiyasıdır, ən inkişaf etmiş metodu və alətləri istifadə etməklə) penetrasiya testi keçirirdilər. Red Teaming haqqında ətraflı məlumat vermişdik. burada. Belə bir testi keçirdikdə, öncədən razılaşdırılmış geniş bir hücum spektri tətbiq oluna bilər, o cümlədən sosial mühəndislik. Aydındır ki, pişiyin yerləşdirilməsi baş vermiş hadisənin son məqsədi deyildi. Əslində, aşağıdakılar idi:

• institutun veb saytının özü institutun şəbəkəsində yerləşdirilmişdi, xarici serverlərdə deyil;
• kadrlar şöbəsinin hesabına sızma aşkar edilmişdi (saytın kökündəki poçt qeydləri faylı). Bu hesabdan saytı idarə etmək mümkün deyildi, amma iş elanları səhifələrini redaktə etmək mümkün idi;
• Səhifələri dəyişdirərək öz JavaScript skriptlərinizi yerləşdirmək olardı. Adətən bunlar səhifələri interaktiv edir, amma bu vəziyyətdə eyni skriptlərdən istifadə edərək ziyarətçinin brauzerindən, kadrlar şöbəsinin proqramçından, proqramçının adi ziyarətçidən fərqləndirən məlumatları - saytın sessiya identifikatorunu oğurlamaq mümkün idi. Pişik hücumun təkanvericisi və diqqət çəkmək üçün şəkil idi. HTML veb səhifələrinin markup dilində bu belə görünürdü: əgər şəkil yüklənibsə, JavaScript artıq icra olunmuşdu və sizin sessiya identifikatorunuz, brauzeriniz haqqında məlumatlar və IP adresiniz artıq oğurlanmışdı.
• Oğurlanmış admin sessiya identifikatoru ilə saytın tam girişinə sahib olmaq, PHP dilində icra olunan səhifələri yerləşdirmək mümkün olardı ki, bu da serverin əməliyyat sisteminə giriş imkanı yaradır, sonra isə lokal şəbəkəyə də keçə bilmək, layihənin mühüm aralıq məqsədidir.

Hücum yarımçıq müvəffəqiyyətlə sona çatdı - admin sessiya identifikatoru oğurlandı, lakin o IP adresinə bağlı idi. Bunu aşmaq mümkün olmadı, saytın icazələrini admin statusuna yüksəltmək mümkün olmadı, amma ruhumuzu yüksəldik. Nəticəni isə şəbəkə sərhədinin digər bir yerində əldə etdik.

Hissə 2. Mən sizə yazıram - daha nə? Hələ də sizə zəng edirəm və ofisinizdə dolanır, flash yaddaşları düşürürəm.

Pişiklə olan vəziyyət bir sosial mühəndislik nümunəsidir, hətta ənənəvi deyil. Əslində bu hekayədə daha çox hadisə var: pişik, institut, kadrlar şöbəsi, proqramçı var idi, amma eyni zamanda, kadrlar şöbəsinə və proqramçıya saytın səhifəsinə daxil olmaq üçün onlara e-poçt göndərən “namizədlər” ilə dəqiqləşdirici suallarla e-poçtlar vardı.

E-poçtlardan danışarkən. Təxminən bir neçə on illikdir ki, adi email sosial mühəndislik üçün əsas nəqliyyat vasitəsi olaraq aktuallığını itirmir və bəzən ən qeyri-adi nəticələrə gətirib çıxarır.

Gələcək hekayəni tez-tez tədbirlərimizdə danışırıq, çünki çox göstəricidir.

Sosial mühəndislik layihələrinin nəticələri ilə adətən statistika tərtib edirik, bu isə, məlumdur ki, quru və darıxdırıcı bir şeydir. Beləliklə, müəyyən faiz iştirakçı emaillərdəki əlavəni açdı, bu qədər insan linkə keçdi, amma bunlardan üçü hətta login və şifrələrini daxil etdi. Bir layihədə şifrə daxil etmədə 100%-dən çox nəticə əldə etdik - yəni göndərdiyimizdən daha çox daxil oldu.

Bu belə oldu: CƏH-nin Dövlət Korporasiyasından olan bir phishing məktubu göndərildi ki, burada "poçt xidmətindəki dəyişiklikləri dərhal sınaqdan keçirmək" tələbi var idi. Məktub, texniki dəstəklə məşğul olan iri bir bölmənin rəhbərinə çatdı. Rəhbər, yüksək rəhbərlikdən gələn tapşırıqları yerinə yetirməkdə çox çalışqan idi və onu bütün tabeliyində olanlara göndərdi. Call center əslində olduqca böyük idi. Ümumilikdə, bəzən birinin əməkdaşlarına "maraqlı" phishing məktubları göndərməsi və onların da bu tuzağa düşməsi vəziyyətləri olduqca yaygındır. Bizim üçün bu məktubun hazırlanma keyfiyyəti üzrə ən yaxşı geribildirimdi.

Bir az sonra bizi ifşa etdilər (məktub kompromit edilmiş poçt qutusunda tapıldı):

Bu hücumun uğuru, müştərilərinin poçt sistemində bir sıra texniki çatışmazlıqlardan istifadə etməklə gerçəkləşdirildi. O, belə tənzimlənmişdi ki, hər hansı bir göndərənin adına, hətta internetdən belə, təşkilatın öz adıyla istənilən məktubları göndərmək mümkündür. Yəni CISO, və ya texniki dəstək rəhbəri, və ya başqa biri şəklində özünü maskalamaq mümkündür. Bundan əlavə, poçt interfeysi, "öz" domenindən gələn məktubları müşahidə edərək, ünvan kitabından şəkil istifadə edərək göndərənə təbii bir görünüş verirdi.

Düzü, bu cür hücum xüsusi çətin texnologiyalara aid deyil, bu, poçtun çox sadə tənzimlənmə xəta istifadəsidir. Bu, mütəmadi olaraq müvafiq İT və İB resurslarında müzakirə olunur, lakin buna baxmayaraq, hələ də bu cür məsələləri olan şirkətlər mövcuddur. Heç kim SMTP poçt protokolunun xidmət başlıqlarını dərindən yoxlamağa meylli olmadığından, məktub adətən poçt interfeysinin təhlükəli olub olmadığına baxılaraq, tam vəziyyəti əks etdirməyən xəbərdarlıq şkalalarına görə yoxlanılır.

Qeyd edək ki, bu cür zəiflik başqa bir istiqamətdə də işləyir: cinayətkar sizin adınızdan üçüncü tərəfdən bir alıcıya məktub göndərə bilər. Məsələn, sizin adınızdan daimi ödəniş üçün hesabı saxtalaşdıraraq, sizin məlumatlarınızı əvəzləyə bilər. Anti-fraud və vasitəçilik məsələlərini nəzərə almadan, bu, sosial mühəndislik vasitəsilə pul oğurluğunun ən asan yollarından biridir.

Şifrelerin phishing vasitəsilə oğurlanmasından əlavə, sosial mühəndislik hücumlarının klassikası icra olunan əlavələrin göndərilməsidir. Bu əlavələr müasir şirkətlərin adətən çoxlu sayda müdafiə vasitələrini keçə bilsələr, qurbanın kompüterinə uzaqdan giriş imkanı yaranır. Hücumun nəticələrini nümayiş etdirmək üçün əldə olunan uzaqdan idarəetməni xüsusi vacib gizli məlumatlara girişdən belə inkişaf etdirmək mümkündür. Qeyd edək ki, medianın hamını qorxutduğu hücumların əksəriyyəti elə belə başlayır.

Bizim audit şöbəsində biz maraq xatirinə hesablayırıq: phishing və icra olunan əlavələrin göndərilməsi vasitəsilə əldə etdiyimiz 'Domen Administratoru' səviyyəsindəki şirkətlərin aktivlərinin cəmi nə qədərdir? Bu il bu rəqəm təxminən 150 milyard avroya çatdı.

Aydındır ki, provokativ e-poçtların göndərilməsi və vebsaytlarda pişik şəkillərinin yerləşdirilməsi sosial mühəndisliyin yeganə yolları deyil. Bu misallarda hücumun müxtəlif formalarını və onların nəticələrini nümayiş etdirməyə çalışdıq. E-poçtlardan başqa, potensial bir hücumçu lazımi məlumatı əldə etmək üçün zəng edə bilər, məqsədli şirkətin ofisində icra olunan fayllarla dolu daşıyıcılar (məsələn, flash sürücülər) ataraq, stajyer kimi işə düzələrək, videomüşahidə kameralarının montajçısı adı altında lokal şəbəkəyə fiziki giriş əldə edə bilər. Bütün bunlar, əslində, bizim uğurla tamamlanmış layihələrdən götürülmüş nümunələrdir.

H hissəsi. Öyrənmək — işıqdır, öyrənməyənlər — qaranlıqdır.

Düzgün sual yaranır: yaxşı, sosial mühəndislik var, görünür təhlükəlidir, şirkətlər bununla nə etməlidir? Köməyə Kaptan Aydındayır gəlir: özlərini müdafiə etməlidirlər, həm də kompleks şəkildə. Müdafiənin bir hissəsi artıq klassik təhlükəsizlik tədbirlərinə, məsələn, informasiya mühafizə vasitələrinə, monitorinqə, proseslərin təşkilati-hüquqi təminatına yönələcək, lakin bizim fikrimizcə, əsas hissə işçilərlə birbaşa işləməyə yönəldilməlidir, çünki onlar ən zəif halqadır. Nə qədər texnikanı gücləndirsəniz, nə qədər sərt qaydalar yazsanız, həmişə yeni bir şəkildə hər şeyi pozan bir istifadəçi olacaqdır. Həm də nə qaydalar, nə də texnika istifadəçinin yaradıcılığının uçuşuna yetişə bilməyəcək, xüsusən də bu, ixtisaslı təcavüzkar tərəfindən təşviq edilirsə.

Birinci növbədə, istifadəçini öyrətmək vacibdir: ona izah etmək lazımdır ki, hətta onun gündəlik işində sosial mühəndisliklə bağlı vəziyyətlər meydana çıxa bilər. Müştərilərimiz üçün biz tez-tez kurslar keçiririk — hücumlara qarşı mübarizə üzrə əsas bacarıqları öyrədən tədbirdir.

Əlavə edə bilərəm ki, ən yaxşı müdafiə tədbirlərindən biri, məlumat təhlükəsizliyi qaydalarını yadda saxlamaq deyil, vəziyyətə bir qədər uzaqdan qiymət verməkdir:

1. Mənim söhbətçim kimdir?
2. Onun təklifi və ya xahişi haradan gəlib (belə bir şey olmadı, indi isə ortaya çıxdı)?
3. Bu sorğuda nə qeyri-adi var?

Hətta qeyri-adi şrift növü və ya göndərənə xas olmayan üslub, şübhələr zəncirini başlada bilər ki, bu da hücumu dayandıra bilər. Yazılı təlimatlar da lazımdır, amma onlar fərqli işləyir və hər bir mümkün vəziyyəti konkretləşdirə bilmirlər. Məsələn, İT mütəxəssisləri yazır ki, sizi tanımadığınız resurslarda parolunuzu daxil etməməlisiniz. Bəs, «öz» «korporativ» şəbəkə resursu parol tələb edərsə nə olacaq? İstifadəçi düşünür: «Bizim şirkətdə onlarla ümumi hesab olan xidmət var, niyə də bir başqası olmasın?» Buradan başqa bir qayda çıxır: yaxşı qurulmuş iş prosesi da birbaşa təhlükəsizliyə təsir edir: əgər qonşu şöbə sizdən məlumatı yalnız yazılı şəkildə və yalnız rəhbəriniz vasitəsilə əldə edə bilirsə, «şirkətimizin etibarlı tərəfdaşı» statuslu şəxslərin telefonla məlumat istəməsi sizin üçün absurd olacaq. Xüsusilə narahat olmalısınız, əgər sizin söhbətçiniz hər şeyi dərhal etməyinizi, ya da «ASAP» — «olduqca tez» yazmağı tələb edirsə. Hətta adi işlərdə belə bu vəziyyət tez-tez sağlam olmur, mümkün hücumlar şəraitində isə bu, güclü bir siqnaldır. Vaxtı izah etməyə yeri yoxdur, mənim faylımı işə sal!

Biz görürük ki, sosial mühəndislik hücumu üçün istifadəçilərə qarşı əfsanələr kimi hər zaman pul ilə bağlı mövzular — artım vədleri, üstünlüklər, hədiyyələr, həmçinin guya yerli dedikodular və intriqalar təqdim edilir. Başqa sözlə, adi «ölüm günahları» işə salınır: pul qazanma istəyi, aclıq və həddindən artıq maraq.

Yaxşı təlim həmişə praktikanı əhatə etməlidir. Burada, penetrasiya testi mütəxəssisləri kömək edə bilər. Sonrakı sual: nəyi və necə test edəcəyik? Biz Group-IB-də aşağıdakı yanaşmanı təklif edirik — testin fokusunu seçmək: ya istifadəçilərin hücuma hazır olması qiymətləndirilsin, ya da şirkətin təhlükəsizliyi bütövlükdə yoxlansın. Və sosial mühəndislik metodları ilə, real hücumları imitasiya edərək test etmək — yəni phishing, icra olunan sənədlərin göndərilməsi, zənglər və digər texnikalar.

Birinci halda, hücum zəhmətlə müştərinin nümayəndələri ilə, əsasən onun İT və İT təhlükəsizliyi mütəxəssisləri ilə birgə hazırlanır. Efsanələr, alətlər və hücum texnikaları razılaşdırılır. Müştəri özünün fokus qruplarını və hücum üçün istifadə ediləcək istifadəçi siyahılarını, bütün lazım olan əlaqələri daxil edərək təqdim edir. İstifadə olunan qoruma vasitələri üçün istisnalar yaradılır, çünki mesajlar və icraedici yüklərin mütləq alıcıya çatması lazımdır; çünki belə bir layihədə yalnız insanların reaksiyası maraq kəsb edir. Hücumu müəyyən etməyə imkan verən markerlər yerləşdirmək də mümkündür; məsələn, mesajlarda bir neçə yazı xətası etməklə və ya brend stilinin kopyalanmasında nizamsızlıqlar buraxmaq olar. Layihənin sonunda həmin «quru statistika» alınır: hansı fokus qruplarının və hansı həcmdə ssenarilərə reaksiya verdiyi.

İkinci halda, hücum sıfır ilkin biliklərlə, «qara qutu» metodu ilə həyata keçirilir. Biz şirkət, onun işçiləri, şəbəkə sərhədi haqqında məlumat toplayırıq, hücum üçün efsanələr hazırlayır, metodları seçirik, hədəf şirkətdə mümkün tətbiq olunan qoruma vasitələrini axtarırıq, alətləri uyğunlaşdırırıq, ssenarilər tərtib edirik. Mütəxəssislərimiz həm açıq mənbələrdən (OSINT) klassik kəşf metodlarından, həm də öz istehsalımız olan Group-IB – Threat Intelligence sistemindən istifadə edirlər. Bu sistem, phishing hazırlığı zamanı, şirkət haqqında uzun müddət ərzində məlumat toplayıcı funksiyası göstərə bilər, həm də qapalı məlumatdan istifadə edərək. Şübhəsiz ki, hücum pis bir sürpriz olmaması üçün onun detallarını müştəri ilə razılaşdırırıq. Nəticədə, tam hüquqlu penetrasiya testi əldə edirik, amma bunun əsasında irəliləmiş sosial mühəndislik olacaq. Bu halda lojiq bir seçim şəbəkə daxilində hücumun inkişafıdır, daxili sistemlərdə maksimum hüquqların əldə edilməsinə qədər. Üstəlik, biz sosial mühəndislik hücumlarını da bənzər şəkildə tətbiq edirik Red Teaming, və bəzi penetrasiya testlərində. Nəticədə, müştəri müəyyən bir sosiyotehniki hücum növünə qarşı öz müdafiəsinin müstəqil və kompleks mənzərəsini, həmçinin xarici təhdidlərə qarşı qurulmuş müdafiə xəttinin effektivliyini (və ya əksinə, effektiv olmamasını) nümayiş etdirəcək.

Biz belə təlimlərin ildə ən azı iki dəfə keçirilməsini tövsiyə edirik. Birincisi, hər bir şirkətdə əməkdaş dövriyyəsi var və əvvəlki təcrübə tədricən unudulur. İkincisi, hücum üsulları və texnikaları daim dəyişir və bu, təhlükəsizlik proseslərinin və qoruma vasitələrinin uyğunlaşdırılması ehtiyacına səbəb olur.

Əgər hücumlardan qorunmaq üçün texniki tədbirlərdən danışsaq, ən çox aşağıdakı vasitələr kömək edir:

• İnternetdə yayımlanan xidmətlərdə mütləq iki faktorlu identifikasiya tələb olunur. 2019-cu ildən etibarən bir neçə yüz işçisi olan şirkətlər üçün Single Sign On sistemləri olmadan, parol sıralaması qoruması olmadan və iki faktorlu identifikasiya olmadan belə xidmətlərin buraxılması "sındır məni" çağırışı ilə eynidir. Düzgün tətbiq edilmiş təhlükəsizlik, oğurlanmış şifrələrin sürətli tətbiqini qeyri-mümkün edəcək və fişinq hücumunun nəticələrinin aradan qaldırılması üçün vaxt verəcək.
• Girişlərin ayrılmasını nəzarət etmək, istifadəçilərin hüquqlarını minimuma endirmək və hər bir böyük istehsalçı tərəfindən təqdim edilən məhsulların təhlükəsiz konfiqurasiyası üçün rəhbərliklərə riayət etmək. Bunlar, əsas etibarilə sadə, amma çox effektiv və praktiki icrasının çətin olduğu tədbirlərdir ki, hər kəs çalışarkən bir dərəcədə onları atlayır. Bəzi tədbirlər isə o qədər vacibdir ki, onsuz heç bir təhlükəsizlik vasitəsi sizi qoruya bilməz.
• Yaxşı qurulmuş e-poçt filtrasiya xətti. Antispyam, əlavələrin zərərli kod üçün tam yoxlanılması, o cümlədən dinamik testlərin həyata keçirilməsi üçün qum santraları. Yaxşı hazırlaşdırılmış bir hücum, icra olunan əlavənin antivirus proqramları tərəfindən aşkar edilməməsini nəzərdə tutur. Qum santrası isə, əksinə, insanın istifadə etdiyi faylları istifadə edərək, hamısını özündə yoxlayacaq. Nəticədə, mümkün olan zərərli komponentlər qum santrası daxilindəki dəyişikliklər vasitəsilə aşkar ediləcək.
• Hədəf alınmış hücumlara qarşı müdafiə vasitələri. Daha əvvəl qeyd edildiyi kimi, klassik antivirus proqramları hazırlıqlı hücum zamanı zərərli faylları aşkar etməyəcək. Ən müasir məhsullar, şəbəkədə baş verən hadisələrin birləşməsini avtomatik izləməlidir - həm ayrı bir host səviyyəsində, həm də şəbəkə daxilində trafik səviyyəsində. Hücumlar zamanı, izlənilə və dayandıra biləcəyimiz çox xarakterik hadisə zəncirləri meydana gəlir, əgər bu cür hadisələrə fokuslanan monitorinqə sahib olsaq.

Məqalənin orijinalı nəşr olundu jurnal "Information Security/ İnformasiya təhlükəsizliyi" #6, 2019.

Mənbə: habr.com