Mentre grandi aziende costruiscono bastioni stratificati contro potenziali malintenzionati interni e hacker, le aziende più piccole si trovano a dover affrontare la seccatura di phishing e spam. Se Marty McFly avesse saputo che nel 2015 (e ancor di più nel 2020) le persone non solo non avrebbero inventato gli hoverboard, ma nemmeno sarebbero riuscite a liberarsi completamente della posta indesiderata, probabilmente avrebbe perso la fede nell'umanità. Inoltre, lo spam oggi non è solo fastidioso, ma spesso anche dannoso. In circa il 70% dei casi, durante l'esecuzione del killchain, i criminali informatici penetrano nell'infrastruttura tramite malware contenuti negli allegati o attraverso link di phishing nelle email.
Negli ultimi tempi si è chiaramente osservata una tendenza alla diffusione dell'ingegneria sociale come metodo per penetrare all'interno dell'infrastruttura organizzativa. Confrontando le statistiche degli anni 2017 e 2018, osserviamo un aumento di quasi il 50% dei casi in cui il malware è stato recapitato sui computer dei dipendenti proprio tramite allegati o link di phishing nel corpo della mail.
In generale, l'intero spettro delle minacce che possono essere realizzate tramite email può essere suddiviso in diverse categorie:
- spam in entrata
- inclusione dei computer dell'organizzazione in una botnet per l'invio di spam in uscita
- allegati dannosi e virus nel corpo della mail (le piccole aziende soffrono soprattutto attacchi di massa come quello di Petya).
Per proteggersi da tutti i tipi di attacchi, è possibile implementare diversi sistemi di sicurezza informatica, oppure optare per un modello di servizio. Noi abbiamo già parlato della Piattaforma Unica dei servizi di cybersecurity – il cuore dell'ecosistema di servizi gestiti di cybersecurity Solar MSS. Tra l'altro, include anche la tecnologia virtualizzata del Gateway Email Sicuro (SEG). Questo servizio è solitamente sottoscritto da piccole aziende, dove tutte le funzioni IT e di sicurezza informatica sono affidate a una sola persona – l'amministratore di sistema. Lo spam è un problema visibile per gli utenti e la direzione dell'azienda e non si può ignorare. Tuttavia, col passare del tempo, anche alla direzione diventa chiaro che non è sufficiente
2 ore per la gestione della posta — sono molte.
Una situazione simile ci è stata segnalata da un rivenditore. I sistemi di rilevamento del tempo di lavoro mostrano che ogni giorno i suoi dipendenti dedicavano circa il 25% del tempo lavorativo (2 ore!) alla gestione della posta elettronica.
Collegando il server di posta del cliente, abbiamo configurato un'istanza di SEG come gateway bidirezionale sia per la posta in entrata che per quella in uscita. Abbiamo avviato la filtrazione secondo politiche preimpostate. La blacklist è stata elaborata sulla base dell'analisi dei dati forniti dal cliente e delle nostre liste di indirizzi potenzialmente pericolosi, ricevute dagli esperti di Solar JSOC nell'ambito di altri servizi, come il monitoraggio degli incidenti di sicurezza informatica. Dopo questo, tutta la posta veniva consegnata ai destinatari solo dopo essere stata ripulita, e le varie campagne di spam riguardanti "grandi sconti" hanno smesso di affollare i server di posta del cliente, liberando spazio per altre esigenze.
Tuttavia, ci sono stati casi in cui un'email legittima è stata erroneamente classificata come spam, ad esempio, se proveniente da un mittente non fidato. In questo caso, abbiamo dato al cliente la possibilità di decidere. Le opzioni non sono molte: eliminare immediatamente oppure mettere in quarantena. È stato scelto il secondo approccio, in cui tale posta indesiderata viene conservata direttamente su SEG. Abbiamo fornito all'amministratore di sistema l'accesso alla console web, dove poteva trovare in qualsiasi momento un'importante email, ad esempio, da un fornitore, e farla passare all'utente.
Liberiamo dai parassiti
Il servizio di protezione email include report analitici, il cui obiettivo è monitorare la sicurezza dell'infrastruttura e l'efficacia delle impostazioni adottate. Inoltre, questi report consentono di prevedere tendenze. Ad esempio, troviamo nella relazione la sezione corrispondente "Spam by Recipient" o "Spam by Sender" e controlliamo a quale indirizzo arriva il maggior numero di messaggi bloccati.
Proprio durante l'analisi di un tale report ci è sembrato sospetta una rapida crescita del numero totale di email in uno dei clienti. La loro infrastruttura è piccola e il numero di email è basso. E improvvisamente, dopo una giornata lavorativa, il numero di spam bloccati è aumentato quasi di due volte. Abbiamo deciso di prestare maggiore attenzione.
Vediamo che è aumentato il numero delle email in uscita e in tutti il campo «Mittente» ci sono indirizzi del dominio che è collegato al servizio di protezione della posta. Ma c'è un'osservazione: tra indirizzi del tutto ragionevoli, forse perfino esistenti, ce ne sono di chiaramente strani. Abbiamo controllato gli indirizzi IP da cui sono state inviate le email e, come ci aspettavamo, si è scoperto che non appartengono allo spazio indirizzi protetto. È evidente che l'aggressore stava inviando spam a nome del cliente.
In questo caso, abbiamo redatto per il cliente delle raccomandazioni su come configurare correttamente i record DNS, in particolare l'SPF. Il nostro esperto ha consigliato di creare un record TXT contenente la regola «v=spf1 mx ip:1.2.3.4/23 -all», che fornisce un elenco esaustivo degli indirizzi autorizzati a inviare email a nome del dominio protetto.
In effetti, perché è importante: lo spam a nome di una piccola azienda sconosciuta è fastidioso, ma non critico. La situazione è molto diversa, per esempio, nel settore bancario. Dalle nostre osservazioni, il livello di fiducia della vittima nei confronti di un'email di phishing aumenta notevolmente se è stata inviata apparentemente da un dominio di un'altra banca o da un fornitore conosciuto dalla vittima. E questo non riguarda solo i dipendenti bancari, in altri settori, come quello energetico, ci troviamo di fronte alla stessa tendenza.
Eliminiamo i virus
Ma lo spoofing non è un problema così comune come, per esempio, le infezioni virali. E come si combattono più frequentemente le epidemie virali? Si installa un antivirus e si spera che «il nemico non passi». Ma se fosse tutto così semplice, considerando il costo relativamente basso degli antivirus, tutti avrebbero già dimenticato il problema del malware. Eppure, continuiamo a ricevere richieste del tipo «aiutateci a recuperare i file, tutto è stato criptato, il lavoro è fermo, i dati sono persi». Non ci stanchiamo di ripetere ai clienti che nemmeno l'antivirus è una panacea. Oltre al fatto che le basi antivirus potrebbero non aggiornarsi abbastanza velocemente, affrontiamo spesso malware capace di eludere non solo gli antivirus, ma anche le sandbox.
Purtroppo, pochi dei normali dipendenti delle organizzazioni sono a conoscenza delle email di phishing e dannose e sono in grado di distinguerle da una normale corrispondenza. In media, ogni settimo utente che non partecipa a una formazione periodica sulla consapevolezza cede ingannato dalla ingegneria sociale: apre un file infetto o invia i propri dati ai malintenzionati.
Sebbene il vettore sociale degli attacchi sia, in generale, aumentato gradualmente, lo scorso anno questa tendenza è diventata particolarmente evidente. Le email di phishing sono diventate sempre più simili alle consuete newsletter riguardanti promozioni, eventi imminenti, ecc. A questo punto, possiamo ricordare l'attacco Silence al settore finanziario: i dipendenti delle banche ricevevano email apparentemente da un codice promozionale per partecipare alla famosa conferenza di settore iFin, e la percentuale di coloro che hanno abboccato all'inganno era molto alta, sebbene, ricordiamo, si trattasse del settore bancario, il più avanzato in tema di sicurezza informatica.
Prima dello scorso Capodanno abbiamo anche osservato alcune situazioni piuttosto curiose, quando i dipendenti di aziende industriali ricevevano email di phishing di alta qualità con una "lista" di promozioni natalizie in famosi negozi online e con codici promozionali per sconti. I dipendenti non solo hanno cercato di cliccare sul link, ma hanno anche inoltrato l'email ai colleghi di aziende correlate. Poiché la risorsa a cui rimandava il link nell'email di phishing era bloccata, i dipendenti hanno cominciato a inviare richieste di accesso all'IT in massa. In generale, il successo della campagna di invio deve aver superato ogni aspettativa dei malintenzionati.
Recentemente ci ha contattato un'azienda che è stata "cripto-chiusa". Tutto è iniziato quando i dipendenti dell'ufficio contabile hanno ricevuto un'email apparentemente dalla Banca Centrale della Federazione Russa. Un contabile ha cliccato sul link nell'email – e ha scaricato sul suo computer un miner WannaMine, che, come il noto WannaCry, sfruttava la vulnerabilità EternalBlue. La cosa più interessante è che la maggior parte degli antivirus è in grado di rilevare le sue firme fin dall'inizio del 2018. Ma, che l'antivirus fosse spento, che le definizioni non fossero aggiornate, o che non fosse affatto presente, in ogni caso, il miner era già sul computer, e nulla gli impediva di diffondersi ulteriormente nella rete, occupando la CPU server e l'ARM al 100%.
Questo committente, ricevuto il rapporto del nostro gruppo di forensic, ha visto che inizialmente il virus era penetrato attraverso la posta e ha avviato un progetto pilota per attivare un servizio di protezione della posta elettronica. La prima cosa che abbiamo configurato è stato l'antivirus per la posta. In questo modo, la scansione per le minacce avviene costantemente e gli aggiornamenti delle firme inizialmente venivano effettuati ogni ora, per poi passare a due volte al giorno.
Una protezione completa contro le infezioni virali deve essere a strati. Parlando della trasmissione di virus tramite posta elettronica, è fondamentale filtrare tali messaggi all'ingresso, educare gli utenti a riconoscere l'ingegneria sociale e solo dopo contare su antivirus e sandbox.
sempre in guardia
Certo, non affermiamo che le soluzioni di classe Secure Email Gateway siano una panacea. Gli attacchi mirati, inclusi quelli di phishing, sono estremamente difficili da prevenire, poiché ogni attacco di questo tipo è 'personalizzato' per un destinatario specifico (organizzazione o individuo). Ma per un'azienda che cerca di garantire un livello base di sicurezza, questo è già molto, soprattutto se supportato da un'esperienza e competenze adeguate per l'incarico.
Nella maggior parte dei casi, nella realizzazione del phishing mirato, nel corpo delle email non vengono inclusi allegati dannosi, altrimenti il sistema antispam bloccherebbe immediatamente tale email prima che arrivi al destinatario. Invece, nel testo dell'email vengono inseriti link a risorse web preparate in anticipo, e a quel punto il passo successivo è semplice. L'utente clicca sul link e, dopo alcuni reindirizzamenti, si ritrova in pochi secondi su quello finale, il cui accesso caricherà sul suo computer del malware.
Anche più sofisticato: nel momento in cui l'email viene ricevuta, il link può sembrare innocuo e solo dopo un certo tempo, quando è già stata scansionata e autorizzata, inizierà a reindirizzare al contenuto dannoso. Sfortunatamente, gli specialisti di Solar JSOC, anche tenendo conto delle loro competenze, non potranno configurare il gateway di posta in modo da 'vedere' le minacce lungo tutta la catena (anche se come protezione si può usare la sostituzione automatica di tutti i link nelle email con quelli del SEG, così da permettere a quest'ultimo di scansionare il link non solo al momento della consegna dell'email, ma ad ogni clic).
Nel frattempo, anche con un tipico reindirizzamento, l'aggregazione di diversi tipi di esperienze, tra cui i dati forniti dal nostro JSOC CERT e OSINT, aiuta a far fronte al problema. Questo consente di formare liste nere ampliate, sulla base delle quali anche un'email con un reindirizzamento multiplo sarà bloccata.
L'uso di SEG è solo un piccolo mattone in quel muro che ogni organizzazione desidera costruire per proteggere i propri beni. Ma questo anello deve essere posato correttamente nel quadro generale, perché anche il SEG, se configurato correttamente, può diventare uno strumento completo di protezione.
Ksenia Sadunina, consulente del dipartimento pre-vendita esperta di prodotti e servizi Solar JSOC
Fonte: habr.com
