Заблуди ме, ако можеш: характеристики на провеждане на социотехнически пентест

Представете си тази ситуация. Студена октомврийска сутрин, проектантски институт в областния център на един от регионите на Русия. Някой от отдела по човешки ресурси отива на една от страниците за свободни позиции на уебсайта на института, публикувана преди няколко дни, и вижда снимка на котка там. Сутринта бързо престава да бъде скучна...

В тази статия Павел Супрунюк, технически ръководител на отдела за одит и консултации в Group-IB, говори за мястото на социотехническите атаки в проекти, оценяващи практическата сигурност, какви необичайни форми могат да приемат и как да се предпазите от такива атаки. Авторът пояснява, че статията има рецензионен характер, но ако някой аспект интересува читателите, експертите на Group-IB с готовност ще отговорят на въпроси в коментарите.

Част 1. Защо толкова сериозно?

Да се ​​върнем на нашата котка. След известно време HR отделът изтрива снимката (екранните снимки тук и по-долу са частично ретуширани, за да не разкриват истински имена), но тя упорито се връща, изтрива се отново и това се случва още няколко пъти. От HR отдела разбират, че котката има най-сериозни намерения, не иска да си тръгва и викат на помощ уеб програмист - човек, който е създал сайта и го разбира, а сега го администрира. Програмистът отива на сайта, отново изтрива досадната котка, установява, че е публикувана от името на самия отдел по човешки ресурси, след което прави предположение, че паролата на отдела по човешки ресурси е изтекла до някои онлайн хулигани и я променя. Котката не се появява отново.

Какво наистина се случи? По отношение на групата компании, включваща института, специалистите на Group-IB проведоха тестове за проникване във формат, близък до Red Teaming (с други думи, това е имитация на целенасочени атаки срещу вашата компания, използвайки най-модерните методи и инструменти от арсенал от хакерски групи). Говорихме подробно за Red Teaming тук. Важно е да се знае, че при провеждането на такъв тест може да се използва много широк набор от предварително съгласувани атаки, включително социално инженерство. Ясно е, че самото настаняване на котката не е било крайната цел на случващото се. И имаше следното:

• уебсайтът на института е хостван на сървър в мрежата на самия институт, а не на сървъри на трети страни;
• Открито е изтичане на информация в акаунта на отдела за човешки ресурси (регистрационният файл на имейла е в основата на сайта). Беше невъзможно да се администрира сайтът с този акаунт, но беше възможно да се редактират страници за работа;
• Като промените страниците, можете да поставите вашите скриптове в JavaScript. Обикновено те правят страниците интерактивни, но в тази ситуация същите скриптове могат да откраднат от браузъра на посетителя това, което отличава HR отдела от програмиста, а програмиста от обикновения посетител - идентификатора на сесията на сайта. Котката беше стимул за атака и снимка за привличане на вниманието. На езика за маркиране на уебсайтове HTML изглеждаше така: ако изображението ви е заредено, JavaScript вече е изпълнен и идентификаторът на вашата сесия, заедно с данните за вашия браузър и IP адрес, вече са откраднати.
• С откраднат идентификатор на администраторска сесия би било възможно да се получи пълен достъп до сайта, да се хостват изпълними страници в PHP и следователно да се получи достъп до операционната система на сървъра, а след това и до самата локална мрежа, което беше важна междинна цел на Проектът.

Атаката беше частично успешна: идентификаторът на сесията на администратора беше откраднат, но беше свързан с IP адрес. Не можахме да заобиколим това; не можахме да повишим привилегиите на нашия сайт до администраторски привилегии, но подобрихме настроението си. Крайният резултат в крайна сметка беше получен в друга част от периметъра на мрежата.

Част 2. Пиша ти - какво друго? Аз също звъня и се мотая в офиса ти, пускам флашки.

Случилото се в ситуацията с котката е пример за социално инженерство, макар и не съвсем класическо. Всъщност имаше повече събития в тази история: имаше котка, и институт, и отдел по персонала, и програмист, но имаше и имейли с уточняващи въпроси, които уж „кандидатите“ писаха на самия отдел по персонала и лично на програмиста, за да ги провокира да отидат на страницата на сайта.

Говорейки за писма. Обикновеният имейл, вероятно основното средство за извършване на социално инженерство, не е загубил своята актуалност от няколко десетилетия и понякога води до най-необичайни последици.

Често разказваме следната история на нашите събития, тъй като е много показателна.

Обикновено, въз основа на резултатите от проекти за социално инженерство, съставяме статистика, която, както знаем, е сухо и скучно нещо. Толкова процента от получателите са отворили прикачения файл от писмото, толкова много са последвали връзката, но тези трима всъщност са въвели своето потребителско име и парола. В един проект получихме повече от 100% въведени пароли - тоест излязоха повече, отколкото изпратихме.

Случи се така: беше изпратено фишинг писмо, уж от CISO на държавна корпорация, с искане „спешно да се тестват промените в пощенската услуга“. Писмото стигна до началника на голям отдел, който се занимаваше с техническа поддръжка. Мениджърът беше много усърден в изпълнението на инструкциите от висшите власти и ги препращаше на всички подчинени. Самият кол център се оказа доста голям. По принцип ситуациите, в които някой препраща „интересни“ фишинг имейли на свои колеги и те също биват хванати, е доста често срещано явление. За нас това е най-добрата обратна връзка за качеството на писане на писмо.

Малко по-късно разбраха за нас (писмото беше взето в компрометирана пощенска кутия):

Успехът на атаката се дължи на факта, че пощата използва редица технически недостатъци в пощенската система на клиента. Той беше конфигуриран по такъв начин, че беше възможно да се изпращат всякакви писма от името на всеки подател на самата организация без разрешение, дори от интернет. Тоест, можете да се преструвате, че сте CISO, или ръководител на техническа поддръжка, или някой друг. Освен това пощенският интерфейс, наблюдавайки писма от „своя“ домейн, внимателно вмъкна снимка от адресната книга, което добави естественост към подателя.

Всъщност подобна атака не е особено сложна технология; тя е успешна експлоатация на много основен пропуск в настройките на пощата. Редовно се преглежда в специализирани ресурси за ИТ и информационна сигурност, но въпреки това все още има компании, които разполагат с всичко това. Тъй като никой не е склонен да проверява задълбочено заглавките на услугата на SMTP пощенския протокол, писмото обикновено се проверява за „опасност“ с помощта на предупредителни икони в интерфейса на пощата, които не винаги показват цялата картина.

Интересното е, че подобна уязвимост работи и в друга посока: нападател може да изпрати имейл от името на вашата компания до получател от трета страна. Например, той може да фалшифицира фактура за редовно плащане от ваше име, като посочи други данни вместо вашите. Освен проблемите с борбата с измамите и тегленето на пари, това вероятно е един от най-лесните начини за кражба на пари чрез социално инженерство.

В допълнение към кражбата на пароли чрез фишинг, класическа социотехническа атака е изпращането на изпълними прикачени файлове. Ако тези инвестиции преодолеят всички мерки за сигурност, от които модерните компании обикновено имат много, ще бъде създаден канал за отдалечен достъп до компютъра на жертвата. За да се демонстрират последствията от атаката, полученото дистанционно управление може да бъде разработено до достъп до особено важна поверителна информация. Прави впечатление, че по-голямата част от атаките, които медиите използват, за да плашат всички, започват точно по този начин.

В нашия отдел за одит, за забавление, изчисляваме приблизителна статистика: каква е общата стойност на активите на компании, до които сме получили достъп като администратор на домейн, главно чрез фишинг и изпращане на изпълними прикачени файлове? Тази година той достигна приблизително 150 милиарда евро.

Ясно е, че изпращането на провокативни имейли и публикуването на снимки на котки в уебсайтове не са единствените методи за социално инженерство. В тези примери се опитахме да покажем разнообразието от форми на атака и техните последствия. В допълнение към писмата, потенциален нападател може да се обади, за да получи необходимата информация, да разпръсне медии (например флаш памети) с изпълними файлове в офиса на целевата компания, да получи работа като стажант, да получи физически достъп до локалната мрежа под прикритието на монтажник на камери за видеонаблюдение. Всичко това, между другото, са примери от нашите успешно завършени проекти.

Част 3. Учението е светлина, а неученото е тъмнина

Възниква резонен въпрос: добре, има социално инженерство, изглежда опасно, но какво трябва да направят компаниите за всичко това? Captain Obvious идва на помощ: трябва да се защитите, и то по цялостен начин. Част от защитата ще бъде насочена към вече класически мерки за сигурност, като технически средства за защита на информацията, мониторинг, организационна и правна поддръжка на процесите, но основната част, според нас, трябва да бъде насочена към директна работа със служителите като най-слабото звено. В края на краищата, колкото и да укрепвате технологията или да пишете сурови разпоредби, винаги ще има потребител, който ще открие нов начин да наруши всичко. Освен това нито регулациите, нито технологията ще се справят с полета на креативността на потребителя, особено ако той е подканен от квалифициран нападател.

На първо място, важно е да обучите потребителя: обяснете, че дори в рутинната му работа могат да възникнат ситуации, свързани със социалното инженерство. За нашите клиенти често провеждаме курсове за дигиталната хигиена - събитие, което учи на основни умения за противодействие на атаки като цяло.

Мога да добавя, че една от най-добрите мерки за защита не би била изобщо да се запаметяват правилата за информационна сигурност, а да се оцени ситуацията по малко дистанциран начин:

1. Кой е моят събеседник?
2. Откъде идва неговото предложение или молба (това не се е случвало досега, а сега се появи)?
3. Какво е необичайното в това искане?

Дори необичаен тип буквен шрифт или стил на реч, който е необичаен за изпращача, може да предизвика верига от съмнения, която ще спре атаката. Необходими са и предписани инструкции, но те работят по различен начин и не могат да уточнят всички възможни ситуации. Например администраторите по информационна сигурност пишат в тях, че не можете да въведете паролата си на ресурси на трети страни. Ами ако „вашият“, „корпоративен“ мрежов ресурс поиска парола? Потребителят си мисли: „Нашата компания вече има две дузини услуги с един акаунт, защо да нямаме още един?“ Това води до друго правило: добре структурираният работен процес също влияе пряко върху сигурността: ако съседен отдел може да поиска информация от вас само писмено и само чрез вашия мениджър, човек „от доверен партньор на компанията“ със сигурност няма да бъде можете да го поискате по телефона - това е за вас ще бъде глупост. Трябва да бъдете особено внимателни, ако вашият събеседник изисква да направите всичко веднага или „ASAP“, както е модерно да се пише. Дори при нормална работа тази ситуация често не е здравословна и при възможни атаки е силен отключващ фактор. Няма време за обяснение, стартирайте моя файл!

Забелязваме, че потребителите винаги са насочени като легенди за социотехническа атака от теми, свързани с пари под една или друга форма: обещания за промоции, преференции, подаръци, както и информация с предполагаеми местни клюки и интриги. С други думи, действат баналните „смъртни грехове“: жажда за печалба, алчност и прекомерно любопитство.

Доброто обучение винаги трябва да включва практика. Тук експертите по тестване за проникване могат да дойдат на помощ. Следващият въпрос е: какво и как ще тестваме? Ние от Group-IB предлагаме следния подход: веднага изберете фокуса на тестването: или оценете готовността за атаки само на самите потребители, или проверете сигурността на компанията като цяло. И тествайте с помощта на методи за социално инженерство, симулиращи реални атаки - тоест същия фишинг, изпращане на изпълними документи, обаждания и други техники.

В първия случай атаката е внимателно подготвена съвместно с представители на клиента, предимно с неговите специалисти по ИТ и информационна сигурност. Легендите, инструментите и техниките за атака са последователни. Клиентът сам предоставя фокус групи и списъци с потребители за атака, които включват всички необходими контакти. Създават се изключения за мерките за сигурност, тъй като съобщенията и изпълнимите зареждания трябва да достигнат до получателя, тъй като в такъв проект се интересуват само реакциите на хората. По желание можете да включите маркери в атаката, чрез които потребителят да познае, че това е атака - например можете да направите няколко правописни грешки в съобщенията или да оставите неточности при копирането на корпоративния стил. В края на проекта се получава същата „суха статистика“: кои фокус групи са отговорили на сценариите и до каква степен.

Във втория случай атаката се извършва с нулеви първоначални познания, като се използва методът на „черната кутия“. Ние независимо събираме информация за компанията, нейните служители, мрежовия периметър, създаваме легенди за атаки, избираме методи, търсим възможни мерки за сигурност, използвани в целевата компания, адаптираме инструменти и създаваме сценарии. Нашите специалисти използват както класически методи за разузнаване с отворен код (OSINT), така и собствен продукт на Group-IB - Threat Intelligence, система, която, когато се подготвя за фишинг, може да действа като агрегатор на информация за компания за дълъг период от време, включително класифицирана информация. Разбира се, за да не се превърне атаката в неприятна изненада, нейните детайли също се договарят с клиента. Оказва се, че това е пълноценен тест за проникване, но ще се основава на напреднало социално инженерство. Логичният вариант в този случай е да се развие атака в мрежата, до получаване на най-високите права във вътрешните системи. Между другото, по подобен начин използваме социотехнически атаки в Red Teaming, и в някои тестове за проникване. В резултат на това клиентът ще получи независима цялостна визия за своята сигурност срещу определен тип социотехнически атаки, както и демонстрация на ефективността (или, обратно, неефективността) на изградената линия на защита срещу външни заплахи.

Препоръчваме провеждането на това обучение поне два пъти годишно. Първо, във всяка компания има текучество на персонала и предишният опит постепенно се забравя от служителите. Второ, методите и техниките за атаки непрекъснато се променят и това води до необходимостта от адаптиране на процесите за сигурност и инструментите за защита.

Ако говорим за технически мерки за защита от атаки, най-много помагат следните:

• Наличие на задължително двуфакторно удостоверяване на услуги, публикувани в Интернет. Пускането на такива услуги през 2019 г. без системи за единично влизане, без защита срещу груба сила на парола и без двуфакторно удостоверяване в компания от няколкостотин души е равносилно на открит призив „да ме разбиете“. Правилно внедрената защита ще направи невъзможно бързото използване на откраднати пароли и ще даде време за отстраняване на последствията от фишинг атака.
• Контролиране на контрола на достъпа, минимизиране на потребителските права в системите и следване на насоките за сигурна конфигурация на продукта, които са издадени от всеки голям производител. Това често са прости по своята същност, но много ефективни и трудни за изпълнение мерки, които всеки в една или друга степен пренебрегва в името на бързината. А някои са толкова необходими, че без тях никакво средство за защита няма да спаси.
• Добре изградена линия за филтриране на имейли. Антиспам, пълно сканиране на прикачени файлове за злонамерен код, включително динамично тестване през пясъчници. Добре подготвената атака означава, че изпълнимият прикачен файл няма да бъде открит от антивирусните инструменти. Пясъчната кутия, напротив, ще тества всичко за себе си, използвайки файлове по същия начин, както ги използва човек. В резултат на това възможен злонамерен компонент ще бъде разкрит от промените, направени в пясъчника.
• Средства за защита срещу целеви атаки. Както вече беше отбелязано, класическите антивирусни инструменти няма да открият злонамерени файлове в случай на добре подготвена атака. Най-напредналите продукти трябва автоматично да следят съвкупността от събития, случващи се в мрежата - както на ниво отделен хост, така и на ниво трафик в мрежата. В случай на атаки се появяват много характерни вериги от събития, които могат да бъдат проследени и спрени, ако имате наблюдение, фокусирано върху събития от този вид.

Оригинална статия публикувани в списание “Информационна сигурност/ Информационна сигурност” №6, 2019 г.

Източник: www.habr.com