Измами ме, ако можеш: особености на провеждането на социотехнически пентест

Представете си следната ситуация. Студен октомврийски сутрин, проектният институт в областен център на един от регионите на Русия. Някой от отдела по човешки ресурси влиза в една от страниците с обяви за работа на сайта на института, публикувана преди няколко дни, и вижда там снимка на котка. Сутринта бързо спира да бъде скучна…

В тази статия Павел Супрунюк, технически ръководител на отдела за одит и консултиране на Group-IB, разказва за мястото на социотехническите атаки в проектите за оценка на практическата защитеност, какви необичайни форми могат да приемат и как да се защитим от такива атаки. Авторът уточнява, че статията е обзорна, но ако някой аспект заинтересува читателите, експертите на Group-IB с радост ще отговорят на въпросите в коментарите.

Част 1. Защо така сериозно?

Да се върнем към нашата котка. След известно време отделът по човешки ресурси премахва снимката (екранните снимки тук и по-долу са частично изрязани, за да не бъдат разкрити реални имена), но тя упорито се връща, отново я премахват и това се случва още няколко пъти. В отдела по човешки ресурси разбираят, че намеренията на котката са много сериозни, тя не иска да си тръгне, и призовават на помощ уеб програмист — човек, който е направил сайта и се запознава с него, а в момента го администрира. Програмистът влиза в сайта, отново премахва дразнещата котка, установява, че е била публикувана от името на самия отдел по човешки ресурси, след което прави предположение, че паролата на отдела е изтекла при някакви мрежови хулигани и я променя. Котката повече не се появява.

Какво всъщност се случи? По отношение на групата компании, в която влизаше институтът, специалистите на Group-IB провеждаха тестове за проникване в формата, близка до Red Teaming (по-просто казано, това е имитация на целеви атаки срещу вашата компания с използване на най-напредналите методи и инструменти от арсенала на хакерски групировки). Подробно говорихме за Red Teaming тук. Важно е да знаете, че при провеждането на такова тестване може да бъде приложен много широк спектър от атаки от предварително съгласувани, включително социална инженерия. Ясно е, че самото публикуване на котката не е било крайна цел на случващото се. А целта беше следната:

• веб-сайтът на института беше разположен на сървър в самата мрежа на института, а не на външни сървъри;
• намерена изтекла информация от човешките ресурси (лог файл с писма в кореновата директория на сайта). Администрирането на сайта с този акаунт беше невъзможно, но можеше да се редактират страниците с работни обяви;
• чрез редактиране на страниците, можеше да се поставят собствени JavaScript скриптове. Обикновено те правят страниците интерактивни, но в тази ситуация същите тези скриптове можеха да откраднат от браузъра на посетителя информацията, която отличаваше човешките ресурси от програмиста и програмиста от обикновения посетител — идентификатора на сесията на сайта. Котката беше тригерът на атаката и изображението, което привличаше вниманието. В HTML разметката на сайтовете това изглеждаше така: ако изображението е заредило, JavaScript вече е изпълнен и вашият идентификатор на сесията заедно с данните за браузъра ви и IP адреса вече е бил откраднат.
• С откраднатия идентификатор на сесията на администратора, можеше да се получи пълен достъп до сайта, да се хостват изпълняващи страници на PHP, а следователно и достъп до операционната система на сървъра, а после и до самата локална мрежа, което беше важната междинна цел на проекта.

Атаката завърши с частичен успех — идентификаторът на сесията на администратора беше откраднат, но той беше свързан с IP адрес. Не успяхме да заобиколим това, не можем да повишим привилегиите на сайта до администраторски, но се повиши настроението ни. Крайният резултат в крайна сметка получихме на друг участък от мрежовия периметър.

Част 2. Аз пиша на вас — какво повече? Звъня и стоя пред офиса ви, оставяйки флашки

Това, което се случи със ситуацията с котката — е пример за социално инженерство, макар и не съвсем класическо. Всъщност в тази история имаше повече събития: имаше и котка, и институт, и човешки ресурси, и програмист, но имаше и имейли с уточняващи въпроси, които уж писаха "кандидати" до самия отдел по човешки ресурси и лично до програмиста, за да ги провокират да посетят страницата на сайта.

Между другото за писмата. Обикновеният имейл — вероятно основният транспорт за социално инженерство — не губи своята значение вече няколко десетилетия и понякога води до най-необичайни последствия.

Следващата история често разказваме на нашите събития, тъй като е много показателна.

Обикновено, след резултатите от проектите със социална инженерия, съставяме статистика, която, както е известно, е нещо сухо и скучно. Толкова процента от получателите са отворили приложението от имейла, толкова са кликнали на линка, а тези трима изобщо са въвели своето потребителско име и парола. В един проект получихме над 100% вход на пароли — тоест, получи се повече, отколкото беше изпратено.

Случи се така: изпратихме фалшив имейл, уж от CISO на държавна корпорация, с изискване "спешно да се тестват промените в пощенския сервис". Имейлът стигна до ръководителя на голямо подразделение, което се занимаваше с техническа поддръжка. Ръководителят беше много старателен в изпълнението на поръченията от висшето ръководство и го препрати на всички свои подчинени. Самият кол-център се оказа доста голям. Въобще, ситуации, в които някой препраща "интересни" фалшиви имейли на своите колеги и те също попадаха на тях, са доста често срещани. За нас това е най-добрата обратна връзка относно качеството на изготвяне на имейла.

Малко по-късно ни разкриха (имейлът е свален от компрометирана пощенска кутия):

Такъв успех на атаката беше предизвикан от това, че при разпространението бяха използвани редица технически недостатъци на пощенската система на клиента. Тя беше настроена по такъв начин, че можеше да се изпращат всякакви имейли от името на всеки изпращач на самата организация без авторизация, дори от интернет. Тоест, можеше да се пр disguise CISO, или началник на техническа поддръжка, или още някой. Освен това, пощенският интерфейс, наблюдавайки имейли от "своя" домейн, любезно подменяше снимката от адресната книга, което добавяше естественост на изпращача.

Всъщност, такава атака не се отнася към особено сложни технологии; това е успешна експлоатация на съвсем базов недостатък в настройките на пощата. Тя редовно се разглежда в профилирани ИТ и ИБ ресурси, но все пак все още съществуват компании, при които всичко това присъства. Тъй като никой не е склонен да проверява подробно служебните заглавия на пощенския протокол SMTP, имейлът обикновено се проверява за "опасност" по предупредителните значки на пощенския интерфейс, които не винаги отразяват цялостната картина.

Интересно, че подобна уязвимост работи и в обратна посока: злоумышленик може да изпрати имейл от името на вашата компания до трето лице. Например, той може да фалшифицира фактура за редовно плащане от ваше име, посочвайки вместо вашите реквизити други. Ако не се разглеждат въпросите на антифрода и обналичаването на средства, това вероятно е един от най-простите начини за кражба на пари чрез социална инженерия.

Освен кражба на пароли чрез фишинг, класическите социотехнически атаки включват изпращане на изпълними вложения. Ако тези вложения преодолеят всичките защитни средства, които съвременните компании обикновено разполагат, ще се образува канал за отдалечен достъп до компютъра на жертвата. За да се демонстрират последствията от атаката, полученото отдалечено управление може да се развие до достъп до особено важна конфиденциална информация. Забележително е, че подавляващото мнозинство от атаките, с които медиите плашат всички, именно така започват.

В нашия аудиторски отдел по интерес имаме приблизителна статистика: каква е общата стойност на активите на компаниите, до които сме получили достъп на ниво „Администратор на домейна“ основно чрез фишинг и разпространение на изпълними вложения? Тази година тя достигна приблизително 150 млрд евро.

Разбира се, разпространението на провокиращи електронни писма и публикуването на снимки на котки в интернет не са единствените методи на социална инженерия. В тези примери се опитвахме да покажем разнообразието от форми на атака и техните последствия. Освен писма, потенциален атакуващ може да звъни, за да получи нужната информация, да разпръсва носители (например флашки) с изпълними файлове в офиса на целевата компания, да се устрои на работа като стажант, да получи физически достъп до локалната мрежа, маскирайки се като монтажник на камери за видеонаблюдение. Всичко това, между другото, е от примери от нашите успешно завършени проекти.

Част 3. Учението е светлина, а неучените — тъма

Съществува основателен въпрос: добре, има социална инженерия, изглежда опасно, но какво да правят компаниите с всичко това? На помощ идва Капитан Очевидност: трябва да се защитаваш, и то комплексно. Част от защитата ще бъде насочена към вече утвърдените мерки за сигурност, като технически средства за защита на информацията, мониторинг и организационно-правно осигуряване на процесите, но основната част, по наше мнение, трябва да бъде насочена към работа със служителите, които са най-слабата връзка. Няма значение колко укрепваш техниката и какви строги регламенти създаваш, винаги ще се намери потребител, който да открие нов начин да наруши всичко. Освен това регламентите и техниката не могат да се справят с креативността на потребителя, особено ако му помага квалифициран злонамерен актьор.

На първо място, важно е да обучим потребителя: да му обясним, че дори в неговата рутинна работа могат да възникнат ситуации, свързани с социалната инженерия. За нашите клиенти често провеждаме курсове по цифрова хигиена — събитие, което обучава основни умения за противодействие на атаките като цяло.

Мога да добавя, че една от най-добрите мерки за защита не е просто запаметяване на правилата за информационна сигурност, а малко дистанцирана оценка на ситуацията:

1. Кой е моят събеседник?
2. Откъде произтича предложението или молбата му (такова никога не е било и ето, появи се)?
3. Какво е необичайното в тази заявка?

Дори необичаен тип шрифт или стил, несвойствен на изпращача, може да задейства верига от съмнения, която спира атаката. Предписаните инструкции също са нужни, но работят по различен начин и не могат да конкретизират всички възможни ситуации. Например, администраторите по информационна сигурност пишат, че не трябва да се въвежда паролата на външни ресурси. А ако паролата е поискано от 'свой', 'корпоративен' мрежов ресурс? Потребителят мисли: 'В нашата компания има десетина услуги с единна регистрация, защо да не се появи още една?' Оттук произтича още едно правило: добре организираният работен процес също пряко влияе на сигурността: ако съседният отдел може да поиска информация от вас само писмено и само през вашия ръководител, човекът от 'доверен партньор на компанията' по-скоро няма да може да я поиска по телефона — за вас това ще бъде абсурд. Особено трябва да бъдете внимание, ако вашият събеседник изисква всичко да се направи веднага, или 'ASAP', както е модерно да се пише. Дори в обичайната работа такава ситуация често не е здрава, а при условия на възможни атаки — това е силен тригер. Няма време за обяснения, стартирай моя файл!

Забелязваме, че на потребителите в качеството на легенди за социотехническа атака винаги действат теми, свързани с пари в някаква форма: обещания за повишения, преференции, подаръци, както и информация с предполагаеми местни клюки и интриги. Иначе казано, работят баналните 'смертни грехове': жажда за печалба, алчност и прекомерно любопитство.

Добро обучение винаги трябва да включва практика. Тук на помощ могат да дойдат специалисти по тестване на проникване. Следващият въпрос е: какво и как ще тестваме? Ние в Group-IB предлагаме следния подход — веднага да изберем фокус на тестването: или да оценяваме готовността на самите потребители за атаки, или да проверим защитеността на компанията като цяло. А тестовете трябва да се извършват с методи на социална инженерия, имитирайки реални атаки — тоест с phishing, разпращане на изпълними документи, обаждания и други техники.

В първия случай атаката се подготвя внимателно заедно с представители на клиента, основно с неговите ИТ и ИБ специалисти. Специално се съгласуват легендите, инструментите и техниките на атаките. Клиентът предоставя целеви групи и списъци с потребители за атаките, включващи всички необходими контакти. Правят се изключения за средствата за защита, тъй като съобщенията и изпълняваните товари задължително трябва да достигнат до получателя, тъй като в такъв проект интересът представлява само реакцията на хората. По желание може да се заложат в атаката маркери, по които потребителят да се досети, че това е атака — например, може да се направят няколко правописни грешки в съобщенията или да се оставят неточности в копирането на фирмения стил. След приключване на проекта получаваме т.нар. „суха статистика“: какви целеви групи и в какъв обем са реагирали на сценарии.

Във втория случай — атаката се провежда с нулеви предварителни знания, по метода на „черната кутия“. Ние сами събираме информация за компанията, нейните служители, мрежовия периметър, формулираме легенди за атаката, избираме методи, търсим възможни средства за защита, използвани в целевата компания, адаптираме инструментите и изготвяме сценарии. Нашите специалисти използват както класически методи за разузнаване по открити източници (OSINT), така и продукт на собственото ни разработване Group-IB — Threat Intelligence, система, която при подготовка за фишинг може да служи като агрегатор на информация за компанията за дълъг период, използвайки и затворена информация. Разбира се, за да не стане атаката неприятна изненада, нейните детайли също се съгласуват с клиента. Получава се пълен тест за проникване, но в основата му стои усъвършенстваната социална инженерия. Логична опция в такъв случай е развитието на атаката вътре в мрежата, дори до получаване на най-високи права в вътрешните системи. Между другото, по подобен начин прилагаме социотехнически атаки и в Red Teaming, и в някои тестове за проникване. В резултат клиентът получава независимо комплексно виждане за своята защита срещу определен вид социотехнически атаки, а също и демонстрация на ефективността (или обратно, неефективността) на изградена линия на отбрана срещу външни заплахи.

Препоръчваме такова обучение да се провежда най-малко два пъти годишно. На първо място, всяка компания има текучество на кадри и предишният опит постепенно се забравя от служителите. На второ място, методите и техниките на атаки постоянно се променят, което налага адаптиране на процесите за сигурност и средствата за защита.

Ако говорим за технически мерки за защита от атаки, в най-голяма степен помагат следните:

• Наличието на задължителна двуфакторна аутентификация на услугите, които са публикувани в интернет. Да се пускат през 2019 година такива услуги без системи за Single Sign On, без защита от подбране на пароли и без двуфакторна аутентификация в компания с размер от няколко стотин души е равносилно на открит призив "счупи ме". Правилно внедрената защита ще направи бързото използване на откраднати пароли невъзможно и ще предостави време за справяне с последствията от фишинг атака.
• Контрол на разграничаването на достъпа, минимизиране на правата на потребителите в системите и спазване на указанията за безопасна настройка на продуктите, които произвежда всеки голям производител. Те често са по същество прости, но много ефективни и трудни за реализация мерки, които всички в повече или по-малка степен пренебрегват заради бързината на работата. А някои от тях са толкова необходими, че без тях нито едно средство за защита не би спасило.
• Добре изградена линия за филтриране на електронната поща. Антиспам, тотална проверка на прикачени файлове за наличие на злонамерен код, включително динамично тестване чрез пясъчници. Добре подготвената атака предполага, че изпълняемият прикачен файл няма да бъде открит от антивирусни средства. Пясъчникът, от своя страна, ще провери всичко върху себе си, използвайки файловете така, както ги използва човек. В резултат на това възможната злонамерена съставка ще бъде разкрита по направените промени вътре в пясъчника.
• Защита от целенаправлени атаки. Как уже беше споменато, класическите антивирусни програми няма да засекат зловредни файлове при добре подготвена атака. Най-напредналите продукти трябва автоматично да следят поредицата от събития, които се случват в мрежата — както на ниво отделен хост, така и на ниво трафик в мрежата. При атаките се проявяват много характерни последователности от събития, които могат да бъдат проследени и спрени, ако имате фокусирано наблюдение върху такива събития.

Оригинал на статията публикуван в списанието «Information Security/ Информационна безопасност» #6, 2019.

Източник: habr.com