Täusche mich, wenn du kannst: Besonderheiten der Durchführung eines sozio-technischen Penetrationstests.

Stellen Sie sich folgende Situation vor: Ein kalter Oktobermorgen, ein Projektinstitut in der Kreisstadt einer der Regionen Russlands. Jemand aus der Personalabteilung öffnet eine der vor ein paar Tagen veröffentlichten Stellenanzeigen auf der Website des Instituts und sieht ein Bild einer Katze. Der Morgen hört schnell auf, langweilig zu sein…

In diesem Artikel erzählt Pavel Suprunyuk, technischer Leiter der Abteilung für Audit und Consulting bei Group-IB, welche Rolle soziotechnische Angriffe in Projekten zur Bewertung der praktischen Sicherheit spielen, welche ungewöhnlichen Formen sie annehmen können und wie man sich gegen solche Angriffe schützen kann. Der Autor weist darauf hin, dass der Artikel einen Überblick über das Thema gibt, jedoch stehen die Experten von Group-IB zur Verfügung, um Fragen in den Kommentaren zu beantworten, falls irgendein Aspekt das Interesse der Leser weckt.

Teil 1. Warum so ernst?

Lass uns zu unserer Katze zurückkehren. Nach einiger Zeit entfernt die Personalabteilung das Foto (Screenshots hier und weiter sind teilweise retuschiert, um echte Namen nicht preiszugeben), aber es taucht immer wieder auf, es wird erneut gelöscht, und das geschieht noch mehrere Male. In der Personalabteilung wird klar, dass die Absichten der Katze sehr ernst sind, sie möchte nicht gehen, und sie rufen einen Webprogrammierer zu Hilfe — eine Person, die die Website erstellt hat und sich damit auskennt und sie nun administriert. Der Programmierer loggt sich in die Website ein, löscht die lästige Katze erneut, stellt fest, dass sie im Namen der Personalabteilung platziert wurde, und vermutet, dass das Passwort der Personalabteilung an einige Internet-Hooligans geleakt wurde, und ändert es. Die Katze erscheint nicht mehr.

Was ist tatsächlich passiert? Im Hinblick auf die Unternehmensgruppe, zu der das Institut gehörte, führte die Firma Group-IB pentests in einem Format durch, das dem Red Teaming nahekommt (einfache gesagt, handelt es sich um die Simulation gezielter Angriffe auf Ihr Unternehmen unter Verwendung der fortschrittlichsten Methoden und Werkzeuge aus dem Arsenal von Hackergruppen). Wir haben ausführlich über Red Teaming berichtet. hier. Es ist wichtig zu wissen, dass bei der Durchführung eines solchen Tests eine sehr breite Palette von Angriffen aus vorab vereinbarten Methoden, einschließlich sozialer Ingenieurkunst, zum Einsatz kommen kann. Offensichtlich war das Platzieren des 'Katzens' nicht das endgültige Ziel der gesamten Aktion. Vielmehr gab es folgendes Ziel:

• Die Website des Instituts war auf einem Server im Netzwerk des Instituts selbst untergebracht, und nicht auf externen Servern;
• Ein Leck des Personalabteilungskontos wurde gefunden (eine Protokolldatei im Stammverzeichnis der Website). Es war nicht möglich, die Website mit diesem Konto zu verwalten, aber die Seiten der Stellenausschreibungen konnten bearbeitet werden;
• Durch die Änderung der Seiten konnten eigene JavaScript-Skripte eingebettet werden. Normalerweise machen sie Seiten interaktiv, doch in dieser Situation könnten die gleichen Skripte verwendet werden, um von den Browsern der Besucher die Informationen zu stehlen, die die Personalabteilung vom Programmierer unterscheiden, sowie den Programmierer von einem einfachen Besucher — die Sitzungs-ID auf der Website. Die 'Katze' war der Auslöser des Angriffs und ein Bild zur Aufmerksamkeitserregung. In der Auszeichnungssprache HTML sah das folgendermaßen aus: Wenn Ihr Bild geladen wurde, wurde das JavaScript bereits ausgeführt und Ihre Sitzungs-ID zusammen mit Informationen über Ihren Browser und Ihre IP-Adresse war bereits gestohlen worden.
• Mit einer gestohlenen Administrator-Session-ID hätte man vollen Zugriff auf die Website erhalten, ausführbare Seiten in PHP hochladen können, was den Zugriff auf das Betriebssystem des Servers und dann auf das lokale Netzwerk bedeutet hätte — ein wichtiges Zwischenziel des Projekts.

Der Angriff endete mit einem teilweisen Erfolg — die Administrator-Session-ID wurde gestohlen, war aber an die IP-Adresse gebunden. Es gelang uns nicht, dies zu umgehen; wir konnten die Berechtigungen auf der Website nicht auf Administratorrechte erhöhen, aber unsere Stimmung hebt sich. Das Endergebnis erzielten wir schließlich an einem anderen Punkt des Netzwerkperimeters.

Teil 2. Ich schreibe Ihnen — was gibt es noch? Außerdem rufe ich an und stehe in Ihrem Büro, während ich USB-Sticks fallenlasse.

Das, was in der Situation mit der Katze passiert ist, ist ein Beispiel für Social Engineering, wenn auch nicht ganz klassisch. In dieser Geschichte gab es tatsächlich mehr Ereignisse: es gab eine Katze, ein Institut, eine Personalabteilung und einen Programmierer, aber es gab auch E-Mails mit klärenden Fragen, die angeblich von "Bewerbern" an die Personalabteilung und direkt an den Programmierer geschrieben wurden, um sie dazu zu bewegen, die Website-Seite aufzurufen.

Übrigens, bei E-Mails. Ganz gewöhnliche E-Mails — wahrscheinlich das Hauptmedium für soziale Ingenieurtechniken — haben seit Jahrzehnten nicht an Relevanz verloren und führen manchmal zu den ungewöhnlichsten Konsequenzen.

Die folgende Geschichte erzählen wir oft bei unseren Veranstaltungen, da sie sehr anschaulich ist.

Normalerweise erstellen wir für Projekte im Bereich soziale Ingenieurtechniken Statistiken, die bekanntlich trocken und langweilig sind. So viele Prozent der Empfänger haben den Anhang der E-Mail geöffnet, so viele haben auf den Link geklickt, und diese drei haben sogar ihre Anmeldedaten eingegeben. In einem Projekt haben wir mehr als 100% der Passworteingaben erhalten — das bedeutet, es wurden mehr Eingaben gemacht als E-Mails versendet.

So geschah es: Es wurde eine Phishing-E-Mail verschickt, angeblich vom CISO einer Staatskorporation, mit der Aufforderung, "dringend Änderungen im E-Mail-Dienst zu testen". Die E-Mail erreichte den Leiter einer großen Abteilung, die für den technischen Support zuständig war. Der Leiter war sehr gewissenhaft bei der Ausführung von Aufträgen von hochrangigen Vorgesetzten und leitete sie an alle Untergebenen weiter. Das Callcenter war recht groß. Insgesamt ist es ziemlich häufig, dass jemand "interessante" Phishing-E-Mails an Kollegen weiterleitet und diese ebenfalls darauf reinfallen. Für uns ist das das beste Feedback zur Qualität der E-Mail.

Wenig später wurden wir enttarnt (die E-Mail wurde aus einem kompromittierten Postfach abgerufen):

Der Erfolg des Angriffs wurde durch eine Reihe technischer Schwächen im E-Mail-System des Kunden ermöglicht. Es war so konfiguriert, dass beliebige E-Mails im Namen eines beliebigen Absenders der Organisation ohne Authentifizierung versendet werden konnten, sogar aus dem Internet. Man konnte sich also als CISO, oder als Leiter des Supports oder eine andere Person ausgeben. Darüber hinaus zeigte die E-Mail-Oberfläche beim Empfang von Nachrichten aus der eigenen Domain fürsorglich ein Foto aus dem Adressbuch an, was dem Absender einen natürlichen Anstrich verlieh.

Ehrlich gesagt, gehört ein solcher Angriff nicht zu besonders komplexen Technologien. Es ist eine gelungene Ausnutzung eines ganz grundlegenden Fehlers in der E-Mail-Konfiguration. Diese Thematik wird regelmäßig auf spezialisierten IT- und Sicherheitsressourcen behandelt, dennoch gibt es immer noch Unternehmen, die damit konfrontiert sind. Da niemand dazu neigt, die Header von E-Mail-Protokollen (SMTP) akribisch zu prüfen, wird eine E-Mail normalerweise nur aufgrund von Warnsymbolen in der E-Mail-Oberfläche auf 'Gefährlichkeit' überprüft, die nicht immer das gesamte Bild darstellen.

Es ist interessant, dass eine solche Schwachstelle auch in die entgegengesetzte Richtung funktioniert: Ein Angreifer kann im Namen Ihres Unternehmens eine E-Mail an einen externen Empfänger senden. Zum Beispiel kann er eine Rechnung für regelmäßige Zahlungen fälschen, indem er anstelle Ihrer Angaben andere angibt. Unabhängig von Fragen zur Fraud Prevention und Geldwäsche ist dies wahrscheinlich einer der einfachsten Wege, Geld durch soziale Manipulation zu stehlen.

Neben dem Diebstahl von Passwörtern durch Phishing gehört das Versenden ausführbarer Anhänge zu den klassischen sozialtechnischen Angriffen. Wenn diese Anhänge alle Sicherheitsmaßnahmen überwinden, die moderne Unternehmen normalerweise implementieren, entsteht ein Kanal für den Fernzugriff auf den Computer des Opfers. Um die Folgen eines Angriffs zu demonstrieren, kann die erhaltene Fernsteuerung bis zum Zugang zu besonders sensiblen vertraulichen Informationen ausgebaut werden. Bemerkenswert ist, dass die überwiegende Mehrheit der Angriffe, vor denen die Medien warnen, genau so beginnt.

In unserer Prüfungsabteilung ermitteln wir aus Interesse eine ungefähre Statistik: Wie hoch ist der Gesamtwert der Vermögenswerte von Unternehmen, auf die wir über die Berechtigungsstufe „Domänenadministrator“ hauptsächlich durch Phishing und Versand von ausführbaren Anhängen Zugriff erhalten haben? In diesem Jahr erreichte er etwa 150 Milliarden Euro.

Es ist klar, dass das Versenden provokanter E-Mails und das Veröffentlichen von Katzenbildern auf Websites nicht die einzigen Methoden sozialer Ingenieurkunst sind. In diesen Beispielen haben wir versucht, die Vielfalt der Angriffsformen und deren Auswirkungen aufzuzeigen. Neben E-Mails kann ein potenzieller Angreifer auch anrufen, um die benötigten Informationen zu erhalten, Speichermedien (z. B. USB-Sticks) mit ausführbaren Dateien im Büro des Zielunternehmens verstreuen, sich als Praktikant bewerben oder physischen Zugang zum lokalen Netzwerk unter dem Vorwand eines Kamerainstallateurs erhalten. All dies sind übrigens Beispiele aus unseren erfolgreich abgeschlossenen Projekten.

Teil 3. Lernen ist Licht, Ungelehrsamkeit ist Dunkelheit.

Es stellt sich die berechtigte Frage: Nun gut, soziale Ingenieurskunst, scheint gefährlich zu sein, was sollen Unternehmen damit tun? Hier kommt Captain Offensichtlichkeit zur Hilfe: Man muss sich verteidigen, und zwar umfassend. Ein Teil des Schutzes wird auf bereits bewährte Sicherheitsmaßnahmen abzielen, wie technische Informationsschutzmittel, Überwachung und organisatorisch-rechtliche Absicherung der Prozesse, doch der Hauptteil sollte unserer Meinung nach direkt auf die Arbeit mit den Mitarbeitern ausgerichtet sein, denn sie sind das schwächste Glied in der Kette. Egal wie sehr man die Technik verstärkt oder strenge Richtlinien aufstellt, es wird immer einen Benutzer geben, der einen neuen Weg findet, alles zu sabotieren. Und sowohl die Richtlinien als auch die Technik werden nicht mit der Kreativität der Benutzer Schritt halten, insbesondere wenn ihnen ein qualifizierter Angreifer Hinweise gibt.

Zuerst ist es wichtig, den Benutzer zu schulen: zu erklären, dass selbst in seiner Routinearbeit Situationen auftreten können, die mit sozialer Ingenieurskunst zu tun haben. Für unsere Kunden bieten wir häufig Kurse zur digitalen Hygiene — eine Veranstaltung, die grundlegende Fähigkeiten zur Abwehr von Angriffen vermittelt.

Ich kann hinzufügen, dass eine der besten Schutzmaßnahmen nicht das Auswendiglernen von Sicherheitsregeln ist, sondern eine etwas distanzierte Einschätzung der Situation:

1. Wer ist mein Gesprächspartner?
2. Woher stammt sein Vorschlag oder seine Bitte (so etwas gab es doch nie, und jetzt ist es auf einmal da)?
3. Was ist an dieser Anfrage ungewöhnlich?

Selbst eine ungewöhnliche Schriftart oder ein untypischer Sprachstil des Absenders kann eine Kette von Zweifeln auslösen, die einen Angriff stoppen kann. Geschriebene Anweisungen sind zwar nötig, wirken jedoch anders und können nicht alle möglichen Situationen konkretisieren. Beispielsweise schreiben Sicherheitsadministratoren, dass man sein Passwort nicht auf fremden Seiten eingeben soll. Was ist aber, wenn eine „eigene“, „unternehmensinterne“ Website nach dem Passwort fragt? Der Benutzer denkt: „In unserem Unternehmen gibt es bereits zwei Dutzend Dienste mit einem einzigen Konto, warum sollte es nicht noch einen weiteren geben?“ Daraus folgt eine weitere Regel: Ein gut strukturierter Arbeitsprozess beeinflusst auch die Sicherheit direkt: Wenn die benachbarte Abteilung Informationen nur schriftlich und ausschließlich über Ihren Vorgesetzten anfordern kann, wird es für Sie absurd sein, wenn jemand am Telefon diese Informationen „von einem vertrauenswürdigen Partner des Unternehmens“ verlangt. Besonders vorsichtig sollten Sie sein, wenn Ihr Gesprächspartner verlangt, dass alles sofort oder „ASAP“ gemacht wird, wie es in Mode ist. Selbst im gewöhnlichen Arbeitsalltag ist eine solche Situation häufig nicht gesund, und unter den Bedingungen möglicher Angriffe ist das ein starker Auslöser. "Es gibt keine Zeit zu erklären, starte meine Datei!"

Wir beobachten, dass Themen, die mit Geld in irgendeiner Form verbunden sind, immer als Lockmittel für sozialtechnische Angriffe auf Benutzer wirken: Versprechungen von Erhöhungen, Vorteilen, Geschenken sowie Informationen über angebliche lokale Gerüchte und Intrigen. Mit anderen Worten, die banalen „sündhaften Neigungen“ kommen zum Tragen: Gier nach Gewinn, Habgier und übermäßige Neugier.

Gutes Training sollte immer praktische Übungen beinhalten. Hier können Fachleute für Penetrationstests hilfreich sein. Die nächste Frage lautet: Was und wie werden wir testen? Wir bei Group-IB schlagen den folgenden Ansatz vor – sofort den Fokus des Tests festlegen: entweder die Bereitschaft der Benutzer für Angriffe bewerten oder die Sicherheit des Unternehmens insgesamt überprüfen. Dabei sollten Methoden der sozialen Ingenieurkunst angewendet werden, die reale Angriffe imitieren – also Techniken wie Phishing, den Versand ausführbarer Dokumente, Telefonanrufe und andere Methoden.

Im ersten Fall wird der Angriff sorgfältig in Zusammenarbeit mit Vertretern des Auftraggebers vorbereitet, hauptsächlich mit seinen IT- und Sicherheitsspezialisten. Es werden Legenden, Werkzeuge und Angriffstechniken abgestimmt. Der Auftraggeber stellt selbst Fokusgruppen und Benutzerlisten für den Angriff zur Verfügung, die alle notwendigen Kontakte enthalten. Ausnahmen für die Schutzmaßnahmen werden geschaffen, da Nachrichten und ausführbare Lasten unbedingt den Empfänger erreichen müssen; denn in einem solchen Projekt interessiert nur die Reaktion der Menschen. Optional können in den Angriff Marker eingebaut werden, durch die der Benutzer erraten kann, dass es sich um einen Angriff handelt – zum Beispiel können in den Nachrichten einige Rechtschreibfehler gemacht oder Ungenauigkeiten im Corporate Design hinterlassen werden. Am Ende des Projekts erhält man die sogenannte „trockene Statistik“: welche Fokusgruppen in welchem Umfang auf die Szenarien reagiert haben.

Im zweiten Fall erfolgt der Angriff mit null Vorwissen, durch die Methode des „Black Box“-Tests. Wir sammeln eigenständig Informationen über das Unternehmen, seine Mitarbeiter, den Netzwerkperimeter, erstellen Legenden für den Angriff, wählen Methoden aus, suchen nach möglichen Schutzmaßnahmen, die im Zielunternehmen angewendet werden, passen die Werkzeuge an und entwickeln Szenarien. Unsere Spezialisten nutzen sowohl klassische Methoden der Aufklärung aus offenen Quellen (OSINT) als auch unser eigenes Produkt von Group-IB — Threat Intelligence, ein System, das bei der Vorbereitung auf Phishing als Informationsaggregator über das Unternehmen über einen längeren Zeitraum fungieren kann, einschließlich geschlossener Informationen. Natürlich werden die Details des Angriffs auch mit dem Auftraggeber abgestimmt, um sicherzustellen, dass er keine unangenehme Überraschung führt. Dies ergibt einen vollständigen Penetrationstest, der aber auf fortgeschrittener sozialer Ingenieurskunst basiert. Eine logische Option in einem solchen Fall wäre die Ausweitung des Angriffs innerhalb des Netzwerks, bis hin zur Erlangung höchster Rechte in den internen Systemen. Übrigens wenden wir ähnliche soziotechnische Angriffe auch in Red Teaming, und in einigen Penetrationstests. Infolgedessen erhält der Kunde eine unabhängige, umfassende Sicht auf seine Sicherheitslage gegenüber bestimmten Arten von sozio-technischen Angriffen sowie einen Nachweis über die Wirksamkeit (oder das Gegenteil, die Uneffektivität) der aufgebauten Verteidigungslinie gegen externe Bedrohungen.

Wir empfehlen, eine solche Schulung mindestens zweimal im Jahr durchzuführen. Erstens gibt es in jedem Unternehmen eine Fluktuation der Mitarbeiter, und frühere Erfahrungen werden allmählich von den Mitarbeitern vergessen. Zweitens ändern sich ständig die Methoden und Techniken von Angriffen, was die Notwendigkeit mit sich bringt, Sicherheitsprozesse und Schutzmittel anzupassen.

Was die technischen Schutzmaßnahmen gegen Angriffe betrifft, so helfen insbesondere die folgenden:

• Die Notwendigkeit einer verpflichtenden Zwei-Faktor-Authentifizierung für Dienste, die im Internet veröffentlicht werden. Im Jahr 2019 solche Dienste ohne Single Sign-On-Systeme, ohne Schutz gegen Passwort-Angriffe und ohne Zwei-Faktor-Authentifizierung in einem Unternehmen mit mehreren Hundert Mitarbeitern zu betreiben, ist gleichbedeutend mit einem öffentlichen Aufruf: "Brich mich auf". Richtig implementierter Schutz macht die schnelle Nutzung gestohlener Passwörter unmöglich und verschafft Zeit, um die Folgen eines Phishing-Angriffs zu beheben.
• Kontrolle der Zugriffseinschränkungen, Minimierung der Benutzerrechte in Systemen und Einhaltung der Sicherheitsrichtlinien für die Konfiguration von Produkten, die jeder große Hersteller herausgibt. Dies sind oft einfache, aber äußerst effektive Maßnahmen, die in der praktischen Umsetzung kompliziert sind und von vielen aus Gründen der Betriebsgeschwindigkeit vernachlässigt werden. Einige sind so notwendig, dass ohne sie kein Schutzmittel helfen kann.
• Gut strukturierte E-Mail-Filterlinie. Antispam, umfassende Überprüfung von Anhängen auf Malware, einschließlich dynamischer Tests über Sandboxes. Ein gut vorbereiteter Angriff bedeutet, dass das ausführbare Attachment von Antivirenlösungen nicht erkannt wird. Im Gegensatz dazu wird die Sandbox alles überprüfen, indem sie Dateien so verwendet, wie es ein Mensch tun würde. Infolgedessen wird mögliche Malware durch die im Sandbox erzeugten Änderungen aufgedeckt.
• Schutzmaßnahmen gegen gezielte Angriffe. Wie bereits erwähnt, werden klassische Antivirenlösungen schädliche Dateien bei gut vorbereiteten Angriffen nicht erkennen. Die fortschrittlichsten Produkte sollten automatisch die Gesamtheit der Ereignisse in einem Netzwerk verfolgen - sowohl auf der Ebene eines einzelnen Hosts als auch im Netzwerkverkehr. Bei Angriffen zeigen sich sehr charakteristische Ereignisströme, die verfolgt und gestoppt werden können, wenn eine gezielte Überwachung solcher Ereignisse vorhanden ist.

Originalartikel veröffentlicht In der Zeitschrift „Information Security / Информационная безопасность“ #6, 2019.

Quelle: habr.com