Täusche mich, wenn du kannst: Besonderheiten der Durchführung eines sociotechnischen Pen-Tests

Stellen Sie sich folgende Situation vor. Ein kalter Oktobermorgen, ein Projektinstitut im regionalen Zentrum einer der Regionen Russlands. Jemand aus der Personalabteilung öffnet eine der Seiten mit Stellenangeboten auf der Webseite des Instituts, die vor ein paar Tagen veröffentlicht wurde, und sieht dort ein Foto einer Katze. Der Morgen hört schnell auf, langweilig zu sein…

In diesem Artikel berichtet Pawel Suprunyuk, technischer Leiter der Abteilung für Audits und Consulting bei Group-IB, darüber, welche Rolle soziotechnische Angriffe in Projekten zur Bewertung der praktischen Sicherheit spielen, welche ungewöhnlichen Formen sie annehmen können und wie man sich vor solchen Angriffen schützen kann. Der Autor macht deutlich, dass der Artikel einen Überblick bietet, aber falls ein Aspekt die Leser interessiert, stehen die Experten von Group-IB bereit, um Fragen in den Kommentaren zu beantworten.

Teil 1. Warum so ernst?

Kommen wir zurück zu unserer Katze. Nach einiger Zeit entfernt die Personalabteilung das Foto (Screenshots hier und im Folgenden sind teilweise retuschiert, um echte Namen nicht preiszugeben), aber es taucht hartnäckig wieder auf, wird erneut entfernt, und das geschieht noch mehrmals. Die Personalabteilung erkennt, dass die Absichten der Katze sehr ernst sind, sie möchte nicht gehen, und ruft einen Web-Programmierer zur Hilfe – jemanden, der die Website erstellt hat und sich damit auskennt, und der sie jetzt verwaltet. Der Programmierer geht auf die Website, entfernt erneut die nervige Katze und stellt fest, dass sie im Namen der Personalabteilung hochgeladen wurde, und vermutet, dass das Passwort der Personalabteilung in die Hände von Netz-Hooligans gelangt ist, und ändert es. Die Katze erscheint nicht mehr.

Was ist tatsächlich passiert? Im Hinblick auf die Unternehmensgruppe, zu der das Institut gehörte, führten Experten von Group-IB Penetrationstests durch, die dem Red Teaming nahekommen (einfacher gesagt, handelt es sich um die Simulation gezielter Angriffe auf Ihr Unternehmen mit den fortschrittlichsten Methoden und Werkzeugen aus dem Arsenal von Hackergruppen). Wir haben ausführlich über Red Teaming berichtet. hierEs ist wichtig zu wissen, dass bei der Durchführung eines solchen Tests ein sehr breites Spektrum an zuvor vereinbarten Angriffen angewendet werden kann, einschließlich sozialer Ingenieurskunst. Es ist klar, dass das bloße Hochladen der Katze nicht das Endziel des Geschehens war. Vielmehr war Folgendes das Ziel:

• Die Website des Instituts war auf einem Server im gleichen Netzwerk des Instituts gehostet, und nicht auf externen Servern;
• Ein Leck in den Kontodaten der Personalabteilung wurde gefunden (Protokolldatei im Stammverzeichnis der Website). Die Verwaltung der Website mit diesen Kontodaten war nicht möglich, aber es war möglich, Stellenangebote zu bearbeiten;
• Durch das Ändern der Seiten konnte man eigene JavaScript-Skripte einfügen. Normalerweise machen sie die Seiten interaktiv, aber in diesem Fall konnten dieselben Skripte verwendet werden, um den Unterschied zwischen der Personalabteilung und dem Programmierer sowie zwischen dem Programmierer und einem einfachen Besucher zu stehlen — die Sitzungs-ID auf der Website. Die Katze war der Auslöser für den Angriff und ein Bild, um Aufmerksamkeit zu erregen. In der Markup-Sprache HTML sah dies so aus: Wenn das Bild geladen wurde, wurde das JavaScript bereits ausgeführt und Ihre Sitzungs-ID zusammen mit Informationen über Ihren Browser und Ihre IP-Adresse war bereits gestohlen.
• Mit der gestohlenen Sitzungs-ID des Administrators hätte man vollen Zugang zur Website erhalten, hätte ausführbare Seiten in PHP hochladen können, was den Zugang zum Betriebssystem des Servers und dann auch zum lokalen Netzwerk bedeutete, was ein wichtiger Zwischenschritt des Projekts war.

Der Angriff endete mit einem teilweisen Erfolg — die Sitzungs-ID des Administrators wurde gestohlen, aber sie war an die IP-Adresse gebunden. Es war uns nicht möglich, diese Einschränkung zu umgehen; wir konnten die Berechtigungen auf der Website nicht auf Administratorrechte erhöhen, dafür verbesserten wir unsere Stimmung. Das endgültige Ergebnis erhielten wir schließlich an einem anderen Punkt der Netzwerkperimeter.

Teil 2. Ich schreibe Ihnen — was gibt es da noch mehr? Außerdem rufe ich an und stehe vor Ihrem Büro, während ich USB-Sticks fallen lasse.

Was in der Situation mit der Katze passierte, ist ein Beispiel für soziale Ingenieurkunst, wenn auch nicht ganz klassisch. In dieser Geschichte gab es tatsächlich mehr Ereignisse: Es gab die Katze, das Institut, die Personalabteilung und den Programmierer, es gab aber auch E-Mails mit präzisierenden Fragen, die angebliche 'Kandidaten' an die Personalabteilung und persönlich an den Programmierer schickten, um sie dazu zu bewegen, die Website zu besuchen.

Apropos E-Mails. Die gewöhnliche E-Mail — wahrscheinlich das Haupttransportmittel für soziale Ingenieurkunst — verliert seit mehreren Jahrzehnten nicht an Aktualität und führt manchmal zu den ungewöhnlichsten Konsequenzen.

Die nächste Geschichte erzählen wir oft bei unseren Veranstaltungen, da sie sehr aufschlussreich ist.

In der Regel erstellen wir basierend auf den Ergebnissen von Social-Engineering-Projekten Statistiken, die, wie bekannt, eine trockene und langweilige Angelegenheit sind. So viel Prozent der Empfänger haben den Anhang aus der E-Mail geöffnet, so viel haben auf den Link geklickt, und diese drei haben sogar ihre Anmeldedaten eingegeben. In einem Projekt haben wir mehr als 100 % der Passwort-Eingaben erhalten – das heißt, es wurden mehr eingegeben als versendet.

Das geschah so: Es wurde eine Phishing-E-Mail verschickt, angeblich vom CISO einer staatlichen Organisation, mit der Aufforderung, "dringend die Änderungen im E-Mail-Dienst zu testen". Die E-Mail gelangte an den Leiter einer großen Abteilung, die für den technischen Support zuständig war. Der Leiter war sehr bemüht, die Aufträge der oberen Führungsebene auszuführen, und leitete sie an alle Mitarbeiter weiter. Das Callcenter stellte sich als recht groß heraus. Im Allgemeinen kommt es häufig vor, dass jemand "interessante" Phishing-E-Mails an seine Kollegen weiterleitet und diese ebenfalls darauf hereinfallen – ein häufiges Phänomen. Für uns ist das das beste Feedback zur Qualität der E-Mail-Formulierung.

Etwas später wurden wir enttarnt (die E-Mail wurde aus einem kompromittierten Postfach entfernt):

Der Erfolg des Angriffs wurde dadurch bedingt, dass bei der Versendung eine Reihe technischer Mängel des E-Mail-Systems des Kunden ausgenutzt wurde. Es war so eingerichtet, dass man E-Mails von beliebigen Absendern der Organisation ohne Authentifizierung versenden konnte, selbst aus dem Internet. Man konnte sich also als CISO, oder als Leiter des technischen Supports oder jemand anderen ausgeben. Darüber hinaus fügte die E-Mail-Oberfläche beim Anzeigen von E-Mails aus "seiner" Domain dankenswerterweise ein Foto aus dem Adressbuch hinzu, was dem Absender mehr Natürlichkeit verlieh.

Ehrlich gesagt gehört ein solcher Angriff nicht zu besonders komplexen Technologien; es ist eine gelungene Ausnutzung eines ganz grundlegenden Fehlers in der E-Mail-Konfiguration. Dies wird regelmäßig auf spezialisierten IT- und Informationssicherheitsressorts behandelt, dennoch gibt es immer noch Unternehmen, bei denen dies alles vorhanden ist. Da niemand dazu neigt, die technischen Kopfzeilen des E-Mail-Protokolls SMTP eingehend zu überprüfen, wird die E-Mail normalerweise auf "Gefährlichkeit" anhand der Warnsymbole der E-Mail-Oberfläche geprüft, die nicht immer das gesamte Bild darstellen.

Interessant ist, dass eine solche Schwachstelle auch in die andere Richtung funktioniert: Ein Angreifer kann eine E-Mail im Namen Ihres Unternehmens an einen externen Empfänger senden. Er könnte beispielsweise eine Rechnung für eine regelmäßige Zahlung in Ihrem Namen fälschen und anstelle Ihrer Kontodaten andere angeben. Wenn man die Fragen des Anti-Fraud und des Mittelübertrags außer Betracht lässt, ist dies wahrscheinlich eines der einfachsten Mittel zur Geldentwendung durch soziale Ingenieurkunst.

Neben dem Diebstahl von Passwörtern durch Phishing sind das Versenden von ausführbaren Anhängen klassische Beispiele für sozialtechnische Angriffe. Wenn diese Anhänge alle Schutzmaßnahmen umgehen, die moderne Unternehmen normalerweise haben, entsteht ein Kanal für den Remote-Zugriff auf den Computer des Opfers. Um die Folgen eines Angriffs zu demonstrieren, kann der erhaltene Fernzugriff bis zum Zugriff auf besonders wichtige vertrauliche Informationen ausgebaut werden. Bemerkenswert ist, dass die überwiegende Mehrheit der Angriffe, vor denen die Medien warnen, genau so beginnt.

In unserer Prüfungsabteilung haben wir aus Interesse eine ungefähre Statistik erstellt: Wie hoch ist der Gesamtwert der Vermögenswerte von Unternehmen, zu denen wir durch Phishing und das Versenden von ausführbaren Anhängen Zugang auf Administrator-Ebene erhalten haben? In diesem Jahr erreichte er etwa 150 Milliarden Euro.

Es ist klar, dass das Versenden provokativer E-Mails und das Veröffentlichen von Katzenfotos auf Websites nicht die einzigen Methoden der sozialen Ingenieurkunst sind. In diesen Beispielen haben wir versucht, die Vielfalt der Angriffsformen und deren Folgen aufzuzeigen. Neben E-Mails kann ein potenzieller Angreifer zum Beispiel anrufen, um die notwendigen Informationen zu erhalten, Träger (z.B. USB-Sticks) mit ausführbaren Dateien im Büro des Zielunternehmens auslegen, sich als Praktikant einstellen oder sich unter dem Vorwand eines Kameramonteurs physischen Zugang zum lokalen Netzwerk verschaffen. All dies sind übrigens Beispiele aus unseren erfolgreich abgeschlossenen Projekten.

Teil 3. Lernen ist Licht, Unwissenheit ist Dunkelheit

Es stellt sich die berechtigte Frage: Nun gut, es gibt soziale Ingenieurskunst, das sieht gefährlich aus, was sollten die Unternehmen damit machen? Captain Offensichtlich eilt zur Hilfe: Man muss sich verteidigen, und zwar umfassend. Ein Teil des Schutzes wird sich auf bereits bewährte Sicherheitsmaßnahmen konzentrieren, wie technische Mittel zum Schutz von Informationen, Überwachung und rechtliche Organisation der Prozesse, aber der Hauptteil, unserer Meinung nach, sollte sich auf die direkte Arbeit mit den Mitarbeitern konzentrieren, da diese die schwächste Glied sind. Denn so sehr man die Technik verstärken oder strenge Richtlinien aufstellen kann, es wird immer einen Benutzer geben, der einen neuen Weg findet, alles zu brechen. Und weder die Richtlinien noch die Technik können mit dem kreativen Elan des Benutzers Schritt halten, besonders wenn ihm ein qualifizierter Angreifer Tipps gibt.

Zunächst ist es wichtig, den Benutzer zu schulen: Erklären, dass selbst in seiner Routinearbeit Situationen auftreten können, die mit sozialer Ingenieurskunst verbunden sind. Für unsere Kunden führen wir oft Kurse zur digitalen Hygiene durch – eine Veranstaltung, die grundlegende Fähigkeiten zur Abwehr von Angriffen im Allgemeinen vermittelt.

Ich kann hinzufügen, dass eine der besten Schutzmaßnahmen nicht das Auswendiglernen von Regeln zur Informationssicherheit sein wird, sondern eine etwas distanzierte Bewertung der Situation:

1. Wer ist mein Gesprächspartner?
2. Woher stammen sein Vorschlag oder seine Bitte (so etwas gab es ja nie, und jetzt ist es da)?
3. Was ist an dieser Anfrage ungewöhnlich?

Selbst ein ungewöhnlicher Schriftstil oder ein untypischer Redestil des Absenders kann eine Kette von Zweifeln auslösen, die einen Angriff stoppen. Geschriebene Anweisungen sind ebenfalls notwendig, funktionieren jedoch anders und können nicht alle möglichen Situationen konkretisieren. Beispielsweise schreiben die IT-Sicherheitsadministratoren, dass man sein Passwort nicht auf fremden Ressourcen eingeben darf. Aber was ist, wenn eine „eigene“, „unternehmensinterne“ Netzwerkressource nach dem Passwort fragt? Der Benutzer denkt: „In unserem Unternehmen gibt es bereits zwei Dutzend Dienste mit einem einheitlichen Konto, warum sollte nicht noch einer hinzukommen?“ Daraus ergibt sich eine weitere Regel: Ein gut gestalteter Arbeitsprozess hat auch einen direkten Einfluss auf die Sicherheit: Wenn die benachbarte Abteilung Informationen nur schriftlich und nur über Ihre Führungskraft anfordern kann, wird eine Anfrage von jemandem, der als „vertrauenswürdiger Partner des Unternehmens“ auftritt, für Sie absurd sein. Besonders wachsam sollten Sie sein, wenn Ihr Gesprächspartner verlangt, alles sofort oder „ASAP“ zu erledigen, wie man gerne sagt. Selbst im normalen Arbeitsalltag ist eine solche Situation oft nicht gesund, und unter möglichen Angriffen stellt sie einen starken Auslöser dar. Es gibt keine Zeit zu erklären, führe meine Datei aus!

Wir stellen fest, dass bei Nutzern als Legenden für soziale Ingenieurangriffe immer Themen im Zusammenhang mit Geld in irgendeiner Form wirken: Versprechen von Erhöhungen, Privilegien, Geschenken sowie Informationen mit angeblichen lokalen Gerüchten und Intrigen. Anders gesagt, die banalen „Kapitalvergehen“ wirken: Gier nach Gewinn, Habgier und übermäßige Neugier.

Eine gute Schulung sollte immer Praxis einschließen. Hier können Spezialisten für Penetrationstests helfen. Die nächste Frage ist: Was und wie werden wir testen? Wir bei Group-IB schlagen folgenden Ansatz vor: Sofort den Fokus des Tests auswählen: Entweder die Bereitschaft der Nutzer gegenüber Angriffen bewerten oder die Sicherheitslage des Unternehmens insgesamt überprüfen. Und das Testen mit Methoden des sozialen Engineerings, indem reale Angriffe simuliert werden – das heißt mit denselben Methoden wie Phishing, Versendung ausführbarer Dokumente, Anrufen und anderen Techniken.

Im ersten Fall wird der Angriff sorgfältig in Zusammenarbeit mit Vertretern des Auftraggebers, hauptsächlich dessen IT- und Sicherheitsspezialisten, vorbereitet. Legenden, Werkzeuge und Angriffs-Techniken werden abgestimmt. Der Auftraggeber stellt selbst Fokusgruppen und Benutzerlisten für den Angriff bereit, die alle notwendigen Kontakte umfassen. Ausnahmen bei den Schutzmaßnahmen werden geschaffen, da Nachrichten und ausführbare Lasten unbedingt den Empfänger erreichen müssen, denn in einem solchen Projekt ist nur die Reaktion der Menschen von Interesse. Optional können Marker in den Angriff eingebaut werden, anhand derer der Benutzer erraten kann, dass es sich um einen Angriff handelt – zum Beispiel kann man ein paar Rechtschreibfehler in den Nachrichten machen oder Ungenauigkeiten im Kopieren des Corporate Designs lassen. Am Ende des Projekts erhält man die sogenannte „trockene Statistik“: welche Fokusgruppen in welchem Umfang auf die Szenarien reagiert haben.

Im zweiten Fall wird der Angriff mit null Ausgangswissen, nach dem „Schwarzes-Box“-Verfahren, durchgeführt. Wir sammeln selbst Informationen über das Unternehmen, dessen Mitarbeiter, das Netzwerkperimeter, erstellen Legenden für den Angriff, wählen Methoden aus, suchen mögliche in dem Zielunternehmen eingesetzte Schutzmaßnahmen, passen Werkzeuge an und entwickeln Szenarien. Unsere Spezialisten nutzen sowohl klassische Methoden der Aufklärung aus offenen Quellen (OSINT) als auch das eigene Produkt von Group-IB – Threat Intelligence, ein System, das bei der Vorbereitung auf Phishing über einen langen Zeitraum als Informationsaggregator für das Unternehmen dienen kann, einschließlich vertraulicher Informationen. Selbstverständlich werden die Einzelheiten des Angriffs auch mit dem Auftraggeber abgestimmt, damit er nicht zu einer unangenehmen Überraschung wird. Das Ergebnis ist ein vollständiger Penetrationstest, der jedoch auf ausgefeilter sozialer Ingenieurskunst basiert. Eine logische Option in diesem Fall ist die Weiterentwicklung des Angriffs innerhalb des Netzwerks, bis hin zum Erhalt der höchsten Rechte in internen Systemen. Übrigens wenden wir ähnliche sozialtechnische Angriffe auch in Red Teaming, und in einigen Penetrationstests an. Infolgedessen erhält der Auftraggeber eine unabhängige, umfassende Sicht auf seine Sicherheit gegenüber einer bestimmten Art von sozialtechnischen Angriffen sowie eine Demonstration der Effektivität (oder umgekehrt, Ineffektivität) der etablierten Verteidigungslinie gegen externe Bedrohungen.

Wir empfehlen, solche Schulungen mindestens zweimal im Jahr durchzuführen. Erstens gibt es in jedem Unternehmen eine Fluktuation der Mitarbeiter, und frühere Erfahrungen werden von den Mitarbeitern allmählich vergessen. Zweitens ändern sich ständig die Methoden und Techniken von Angriffen, was die Notwendigkeit zur Anpassung von Sicherheitsprozessen und Schutzmaßnahmen mit sich bringt.

Wenn es um technische Schutzmaßnahmen gegen Angriffe geht, sind die folgenden am hilfreichsten:

• Die verpflichtende Zwei-Faktor-Authentifizierung bei Diensten, die im Internet veröffentlicht werden. Solche Dienste im Jahr 2019 ohne Single Sign-On-Systeme, ohne Schutz vor Passwortermittlungen und ohne Zwei-Faktor-Authentifizierung in Unternehmen mit mehreren Hundert Mitarbeitern einzuführen, wäre ein offener Aufruf: 'Brich mich auf'. Richtig implementierter Schutz macht die schnelle Nutzung gestohlener Passwörter unmöglich und gibt Zeit, um die Folgen eines Phishing-Angriffs zu beseitigen.
• Überwachung der Zugriffskontrolle, Minimierung der Benutzerrechte in Systemen und Befolgung der Leitfäden zur sicheren Konfiguration von Produkten, die jeder große Hersteller herausgibt. Diese Maßnahmen sind oft von einfacher Natur, aber sehr effektiv und in der praktischen Umsetzung kompliziert, wobei sie aus Gründen der Schnelligkeit oft vernachlässigt werden. Einige sind so notwendig, dass ohne sie kein Schutzmittel wirksam ist.
• Eine gut organisierte E-Mail-Filterlinie. Anti-Spam, umfassende Überprüfung von Anhängen auf schädlichen Code, einschließlich dynamischer Tests in Sandkästen. Ein gut vorbereiteter Angriff bedeutet, dass die ausführbare Anlage von Antivirenmitteln nicht erkannt wird. Der Sandbox-Test hingegen prüft alles, indem er Dateien so verwendet, wie es ein Mensch tun würde. Dadurch wird mögliche schädliche Komponenten an den innerhalb der Sandbox vorgenommenen Veränderungen offenbart.
• Schutzmittel gegen zielgerichtete Angriffe. Wie bereits erwähnt, werden klassische Antivirenprogramme schädliche Dateien bei gut vorbereiteten Angriffen nicht erkennen. Die fortschrittlichsten Produkte sollten automatisch eine Gesamtheit von Ereignissen überwachen, die im Netzwerk stattfinden – sowohl auf der Ebene einzelner Hosts als auch auf der Ebene des Verkehrs innerhalb des Netzwerks. Im Falle von Angriffen treten sehr charakteristische Ereignisketten auf, die nachverfolgt und gestoppt werden können, wenn man eine auf solche Ereignisse fokussierte Überwachung hat.

Originalartikel veröffentlicht in der Zeitschrift „Information Security/ Информационная безопасность“ #6, 2019.

Quelle: habr.com