Измани ме, ако можеш: особености на провеждането на социотехнически пентест

Представете си следната ситуация. Студен октомврийски ден, проектен институт в областния център на един от регионите на Русия. Някой от отдела за човешки ресурси влиза на една от страниците с обяви за работа на сайта на института, публикувана преди два дни, и вижда снимка на котка. Сутринта бързо спира да бъде скучна...

В тази статия Павел Супрунюк, технически ръководител на отдела за одит и консултантски услуги в Group-IB, разказва за мястото на социотехническите атаки в проектите за оценка на практическата сигурност, какви неочаквани форми могат да приемат и как да се защитим от такива атаки. Авторът уточнява, че статията е обзорна, но ако някой аспект заинтересува читателите, експертите от Group-IB с радост ще отговорят на въпросите в коментарите.

Част 1. Защо толкова сериозно?

Нека се върнем към нашата котка. След известно време отделът за човешки ресурси премахва снимката (екранните снимки тук и по-долу са частично замъглени, за да не разкриват реалните имена), но тя упорито се появява отново, отново я премахват и това се случва още няколко пъти. В отдела за човешки ресурси разбират, че намеренията на котката са много сериозни, тя не иска да изчезне и призовават на помощ уеб програмист — човекът, който е направил сайта и разбира в него, а в момента го администрира. Програмистът влиза в сайта, отново премахва досадната котка, установява, че е публикувана от името на самия отдел за човешки ресурси, след което предполага, че паролата на отдела е изтекла до някакви мрежови хулигани и я променя. Котката вече не се появява.

Какво всъщност се случи? По отношение на групата компании, в която влизаше института, специалистите на Group-IB провеждаха тест за проникване в формат близък до Red Teaming (по-просто казано, това е имитация на целеви атаки срещу вашата компания с използване на най-съвременните методи и инструменти от арсенала на хакерски групи). Ние подробно разказахме за Red Teaming. тук.Важно е да знаете, че при провеждането на такъв тест може да се прилага много широк спектър от атаки от предварително одобрени, включително социална инжинеринг. Разбира се, самото публикуване на котката не беше крайна цел на събитията. А следващото бе:

• Уебсайтът на института беше разположен на сървър в самата мрежа на института, а не на външни сървъри;
• Намерена е изтичане на акаунт на отдел „Човешки ресурси“ (лог файл с кореспонденция в корена на сайта). Администрирането на сайта с този акаунт не беше възможно, но можеше да се редактират страниците с обяви за работа;
• При промяна на страниците, можеше да се поставят собствени JavaScript скриптове. Обикновено те правят страниците интерактивни, но в конкретния случай с тези скриптове можеше да се открадне от браузъра на посетителя това, което различава отдел „Човешки ресурси“ от програмиста, а програмиста от обикновения посетител — идентификаторът на сесията на сайта. Котката беше тригерът на атаката и изображението за привличане на внимание. В HTML това изглеждаше така: ако изображението се зареди, JavaScript вече е изпълнен и вашият идентификатор на сесията, заедно с данните за вашия браузър и IP адрес, вече е бил откраднат.
• С откраднатия идентификатор на сесията на администратора можеше да се получи пълен достъп до сайта, да се хостват изпълними PHP страници, а оттам и достъп до операционната система на сървъра, а след това и до самата локална мрежа, което беше важна междинна цел на проекта.

Атаката завърши с частичен успех — идентификаторът на сесията на администратора беше откраднат, но той беше свързан с IP адреса. Не успяхме да заобиколим това, не успяхме да повишим правата на сайта до администраторски, но поне повишихме настроението си. Крайният резултат в крайна сметка получихме на друго място в мрежовия периметър.

Част 2. Пиша ви — какво повече да кажа? И още ви звъня и тъпча пред офиса ви, разпилвайки USB флашки.

Това, което се случи с котката — пример за социална инженерия, макар и не съвсем класически. Всъщност в тази история имаше повече събития: имаше котка, имаше институт, имаше отдел „Човешки ресурси“, имаше и програмист, но имаше и електронни писма с уточняващи въпроси, които написаха така наречените "кандидати" до самия отдел „Човешки ресурси“ и лично до програмиста, за да ги провокират да влязат на страницата на сайта.

Между другото за писмата. Обикновеният имейл — вероятно основният транспорт за провеждане на социална инженерия — не губи своята актуалност вече няколко десетилетия и понякога води до най-необичайни последствия.

Следващата история често я разказваме на нашите събития, защото е много показателна.

Обикновено, на базата на резултатите от проектите със социална инженерия, съставяме статистика, която е известна като суха и скучна работа. Толкова процента от получателите отвориха прикачения файл от имейла, толкова преминаха по линка, а трима дори въведоха своето потребителско име и парола. В един проект получихме над 100% въвеждане на пароли — т.е. по-вече, отколкото бяха изпратени.

Случи се така: изпратено беше фишинг имейл, уж от CISO на държавна корпорация, с изискването "спешно да се тества промените в пощенския сървър". Имейлът попада на ръководителя на голямо подразделение, което се занимаваше с техническа поддръжка. Ръководителят беше много усърден в изпълнението на заповеди от високото ръководство и го пренасочи на всички подчинени. Самият кол център се оказа доста голям. Всъщност, ситуации, когато някой пренасочва "интересни" фишинг имейли на своите колеги и те също попадат са доста чести. За нас това е най-добрата обратна връзка за качеството на съставяне на имейла.

Няколко по-късно ни разкриха (имейлът е заснет в компрометиран пощенски кутия):

Такъв успех на атаката беше причинен от това, че при разпращането бяха използвани редица технически недостатъци на пощенската система на клиента. Тя беше настроена по такъв начин, че можеше да се изпращат каквито и да е имейли от името на всеки изпращач на самата организация без удостоверяване, дори от интернет. Тоест, можеше да се представяш за CISO, или началник на техническата поддръжка, или за някой друг. Освен това, пощенския интерфейс, наблюдавайки имейли от "своя" домейн, грижливо подставяше снимка от адресната книга, което добавяше автентичност на изпращача.

Всъщност, такава атака не принадлежи към особено сложни технологии, това е удачна експлоатация на съвсем базова настройка на пощата. Тя редовно се разглежда на специализирани ИТ и ИБ ресурси, но въпреки това все още срещаме компании, при които всичко това присъства. Тъй като никой не е склонен да проверява подробно служебните заглавия на пощенския протокол SMTP, имейлът обикновено се проверява за "опасност" по предупредителни знаци в пощенския интерфейс, които не винаги дават пълна картина.

Интересно, че подобна уязвимост работи и в друга посока: злоумышленик може да изпрати писмо от името на вашата компания на трети получател. Например, той може да подправи фактура за редовно плащане от ваше име, посочвайки вместо вашите данни други. Ако не разглеждаме въпросите на антифрода и извличането на средства, това вероятно е един от най-простите начини за кражба на пари чрез социална инженерия.

Освен кражба на пароли чрез фишинг, класиката в социо-техническите атаки е разпространението на изпълними приложения. Ако тези приложения преодолеят всички средства за защита, с които съвременните компании обикновено разполагат, ще се създаде канал за отдалечен достъп до компютъра на жертвата. За демонстрация на последствията от атаката, полученото отдалечено управление може да се разширява до достъп до особено важна конфиденциална информация. Забележително е, че преобладаващото мнозинство от атаките, за които ни предупреждават медиите, именно така започват.

В нашия отдел по одит ние просто от интерес изчисляваме приблизителна статистика: каква е общата стойност на активите на компаниите, до които имаме достъп на ниво „Администратор на домейна“, предимно чрез фишинг и разпространение на изпълними приложения? Тази година тя достигна приблизително 150 милиарда евро.

Ясно е, че разпространението на провокиращи електронни писма и публикуването на котешки снимки на сайтове не са единствените методи на социална инженерия. В тези примери се опитахме да покажем разнообразието на формите на атака и техните последствия. Освен писма, потенциалният нападател може да звъни, за да получи нужната информация, да разпръсква носители (например, флашки) с изпълними файлове в офисите на целевата компания, да се наема на работа като стажант, да получава физически достъп до локалната мрежа под предлог, че е инсталатор на видеокамери. Всичко това, между другото, е пример от нашите успешно завършени проекти.

Част 3. Учението е светлина, а невежите — тъма

Възниква резонният въпрос: добре, има социална инженерия, изглежда опасно, какво да правят компании с всичко това? На помощ идва Капитан Очевидност: трябва да се защитим, и то комплексно. Част от защитата ще бъде насочена към вече утвърдените мерки за сигурност, като технически средства за защита на информацията, мониторинг, организационно-правно осигуряване на процесите, но основната част, по наше мнение, трябва да бъде насочена към непосредствената работа с служителите като най-слабото звено. В крайна сметка, колкото и да укрепваме техниката, и колкото и строги регламенти да пишем, винаги ще се намери потребител, който да открие нов начин да разруши всичко. А нито регламентите, нито техниката ще успеят да настигнат полета на креативността на потребителя, особено ако му помага квалифициран злонамерен субект.

На първо място, важно е да обучим потребителя: да обясним, че дори в рутинната му работа могат да възникнат ситуации, свързани със социална инженерия. За нашите клиенти често провеждаме курсове по цифрова хигиена — събитие, обучаващо основни умения за противодействие на атаките в общи линии.

Мога да добавя, че една от най-добрите мерки за защита няма да бъде само запомнянето на правилата за информационна сигурност, а малко отстраненото оценяване на ситуацията:

1. Кой е моят събеседник?
2. Откъде идва неговото предложение или молба (такова никога не е имало, а сега се появи)?
3. Какво е необичайно в това запитване?

Дори необичен тип на шрифт или нехарактерен стил на изказване от изпращача могат да предизвикат верига от съмнения, която да спре атаката. Написаните инструкции също са необходими, но работят по различен начин и не могат да конкретизират всички възможни ситуации. Например, администраторите на информационна безопасност пишат в тях, че не трябва да въвеждате паролата си на чужди ресурси. А какво, ако паролата изисква "вашият", "корпоративен" мрежов ресурс? Потребителят си мисли: "В нашата компания вече има двайсетина услуги с единна регистрация, защо да не се появи още една?" Оттук произтича още едно правило: добре организираният работен процес също пряко влияе на сигурността: ако съседното отделение може да поиска информация от вас само писмено и само чрез вашия ръководител, човек "от доверен партньор на компанията" не би могъл да я поиска по телефона — за вас това ще бъде нонсенс. Особено трябва да се внимава, ако вашият събеседник изисква всичко да се направи точно сега или "ASAP", както е модерно да пишем. Дори в обикновената работа такава ситуация често не е здравословна, а в условията на възможни атаки — това е силен тригер. Няма време за обяснение, стартирай моя файл!

Забелязваме, че на потребителите като легенди за социално инженерство винаги действат теми, свързани с пари по един или друг начин: обещания за повишения, предимства, подаръци, както и информация с предполагаеми местни клюки и интриги. С други думи, работят баналните „смъртни грехове”: жажда за печалба, алчност и прекалено любопитство.

Добро обучение винаги трябва да включва практика. Тук на помощ могат да дойдат специалисти по тестване на проникване. Следващият въпрос: какво и как ще тестваме? Ние в Group-IB предлагаме следния подход — веднага да изберем фокуса на тестването: или да оценим готовността на самите потребители за атаки, или да проверим защитата на компанията като цяло. А да тестваме с методи на социално инженерство, имитирайки реални атаки — тоест със същите техники, като фишинг, изпращане на изпълними документи, обаждания и други техники.

В първия случай атаката се подготвя внимателно с представители на клиента, основно с неговите ИТ и ИБ специалисти. Съгласуват се легендите, инструментите и техниките на атаките. Клиентът сам предоставя фокус-групи и списъци с потребители за атаката, които включват всички нужни контакти. Създават се изключения на защитните средства, тъй като съобщенията и изпълняемите товари задължително трябва да достигат до получателя, тъй като в такъв проект интерес представлява само реакцията на хората. Опционално може да се заложат в атаката маркери, по които потребителят може да се досети, че това е атака — например, може да се направят няколко правописни грешки в съобщенията или да се оставят неточности в копирането на фирмения стил. В края на проекта се получава онази „суха статистика“: кои фокус-групи и в какъв обем са реагирали на сценарии.

Във втория случай — атаката се провежда с нулеви предварителни знания, по метода „черна кутия“. Ние самостоятелно събираме информация за компанията, нейните служители, мрежовия периметър, формираме легенди за атаката, избираме методи, търсим възможните защити, прилагани в целевата компания, адаптираме инструментите, съставяме сценарии. Нашите специалисти използват както класическите методи за разузнаване по отворени източници (OSINT), така и продукта на собствено разработване на Group-IB — Threat Intelligence, система, която при подготовка за фишинг може да служи като агрегатор на информация за компанията за продължителен период, използвайки включително и закрита информация. Разбира се, за да не се окаже атаката неприятна изненада, нейните детайли също се съгласуват с клиента. Получава се пълноценен тест за проникване, но неговата основа ще бъде усъвършенстваната социална инженерия. Логичната опция в такъв случай — развитие на атаката вътре в мрежата, докато не се получат най-високите права в вътрешните системи. Между другото, по подобен начин прилагаме социоинженерни атаки и в Red Teaming, и в някои тестове за проникване. В резултат клиентът ще получи независимо цялостно виждане за своята сигурност от определен вид социоинженерни атаки, както и демонстрация на ефективността (или обратно, неефективността) на изградената линия на защита от външни заплахи.

Препоръчваме да провеждате такова обучение не по-рядко от два пъти годишно. На първо място, в която и да е компания, има текучество на кадри и предишният опит постепенно се забравя от служителите. На второ място, методите и техниките на атаките постоянно се променят, което води до необходимостта от адаптиране на процесите за сигурност и средствата за защита.

Когато става въпрос за технически мерки за защита от атаки, най-много помагат следните:

• Наличието на задължителна двуфакторна аутентификация за услугите, публикувани в интернет. Пускането на такива услуги през 2019 година без системи за Single Sign On, без защита от опити за разбиване на пароли и без двуфакторна аутентификация в компания с размер от няколко стотин души е равносилно на открито призив „счупи ме“. Правилно внедрената защита ще направи бързото използване на откраднати пароли невъзможно и ще даде време за отстраняване на последствията от фишинг атаката.
• Контрол над разграничаването на достъпа, минимизиране на правата на потребителите в системите и спазване на указанията за безопасна конфигурация на продуктите, произвеждани от всеки голям производител. Това често са по същество прости, но много ефективни и сложни в практическото изпълнение мерки, с които всички в по-голяма или по-малка степен пренебрегват за сметка на скоростта на работа. А някои са толкова необходими, че без тях нито едно средство за защита не може да спаси.
• Добре изградената линия за филтриране на електронна поща. Антиспам, тотална проверка на прикачените файлове за наличие на злонамерен код, включително динамично тестване чрез песочници. Добре подготвената атака предполага, че изпълнимото прикачено файл няма да бъде засечено от антивирусни средства. Песочницата, от своя страна, ще провери всичко върху себе си, използвайки файлове така, както ги използва човек. В резултат на това възможната вредоносна съставка ще бъде открита по производимите промени вътре в песочницата.
• Средства за защита от целенасочени атаки. Както вече беше споменато, класическите антивирусни средства няма да открият злонамерени файлове при добре подготвена атака. Най-напредналите продукти трябва автоматично да проследяват комплект от събития, които се случват в мрежата — както на ниво отделен хост, така и на ниво трафик в рамките на мрежата. При атаките се проявяват много характерни вериги от събития, които могат да се проследят и спрат, ако имате целенасочен мониторинг на такива събития.

Оригинал на статията беше публикуван в списание «Information Security/ Информационна сигурност» #6, 2019.

Източник: habr.com