Mentre i grandi colossi dell'Enterprise costruiscono bastioni stratificati contro potenziali insider e hacker, per le aziende più piccole il vero problema rimangono il phishing e le email di spam. Se Marty McFly avesse saputo che nel 2015 (e a maggior ragione nel 2020) le persone non solo non avrebbero inventato gli hoverboard, ma non sarebbero neppure riuscite a eliminare completamente la posta indesiderata, probabilmente avrebbe perso la fede nell'umanità. Inoltre, oggi lo spam non è solo fastidioso, ma spesso anche dannoso. In circa il 70% dei casi, durante l'attuazione del killchain, i criminali informatici penetrano nell'infrastruttura tramite malware contenuto negli allegati o attraverso link di phishing nelle email.
Negli ultimi tempi si è decisamente notata una tendenza all'aumento dell'ingegneria sociale come metodo per infiltrarsi nelle infrastrutture delle organizzazioni. Confrontando le statistiche del 2017 e del 2018, osserviamo un incremento di casi di quasi il 50% in cui il malware veniva consegnato ai computer dei dipendenti tramite allegati o link di phishing nel corpo delle email.
In generale, l'intero spettro delle minacce che possono essere realizzate tramite l'e-mail può essere suddiviso in diverse categorie:
- spam in entrata
- inserimento dei computer dell'organizzazione in una botnet che invia spam in uscita
- allegati dannosi e virus nel corpo della lettera (le piccole aziende sono spesso colpite da attacchi su larga scala come Petya).
Per proteggersi da tutti i tipi di attacchi, è possibile implementare diverse soluzioni di sicurezza informatica, oppure optare per un modello di servizio. Abbiamo già sulla Piattaforma Unificata di Servizi di Cybersecurity – il cuore dell'ecosistema di servizi gestiti di cybersecurity Solar MSS. Tra le altre cose, include anche la tecnologia virtualizzata Secure Email Gateway (SEG). Di solito, l'abbonamento a questo servizio viene acquistato da piccole imprese, dove tutte le funzioni IT e di sicurezza sono affidate a una sola persona – l'amministratore di sistema. Lo spam è un problema che è sempre sotto gli occhi degli utenti e della direzione, e non può essere trascurato. Tuttavia, col tempo, anche la direzione si rende conto che sarebbe impossibile semplicemente “scaricare” il problema all'amministratore – richiede troppo tempo.
2 ore per gestire la posta - è un po' troppo
Un nostro cliente del settore retail si è rivolto a noi con una situazione simile. I sistemi di monitoraggio del tempo di lavoro mostrano che ogni giorno i suoi dipendenti dedicavano circa il 25% del loro tempo lavorativo (2 ore!) a gestire la casella di posta.
Collegando il server di posta del cliente, abbiamo configurato l'istanza di SEG come gateway bidirezionale per la posta in entrata e in uscita. Abbiamo avviato la filtrazione secondo politiche predefinite. La nostra blacklist è stata creata analizzando i dati forniti dal cliente e le nostre liste di indirizzi potenzialmente pericolosi, ottenute dagli esperti di Solar JSOC nell'ambito di altri servizi - come il monitoraggio degli incidenti di sicurezza informatica. Dopo questo intervento, tutta la posta veniva consegnata ai destinatari solo dopo un'accurata pulizia, e diverse campagne di spam riguardanti "grandi sconti" hanno smesso di affluire in massa sui server di posta del cliente, liberando spazio per altre esigenze.
Tuttavia, ci sono state situazioni in cui un'email legittima è stata erroneamente classificata come spam, ad esempio, se proveniva da un mittente non fidato. In questo caso, abbiamo dato al cliente la possibilità di decidere. Le opzioni su cosa fare non sono molte: eliminarla immediatamente o metterla in quarantena. Abbiamo scelto la seconda opzione, in cui questa posta indesiderata viene conservata sul SEG. Abbiamo fornito all'amministratore di sistema l'accesso alla web console, dove può trovare in qualsiasi momento un'email importante, ad esempio, da un fornitore, e inoltrarla all'utente.
Eliminiamo i parassiti
Il servizio di protezione della posta elettronica include report analitici, il cui obiettivo è controllare la sicurezza dell'infrastruttura e l'efficacia delle impostazioni applicate. Inoltre, questi report consentono di prevedere le tendenze. Ad esempio, troviamo nella relazione la sezione "Spam by Recipient" o "Spam by Sender" e vediamo a quale indirizzo vengono indirizzati il maggior numero di messaggi bloccati.
Durante l'analisi di questo rapporto, ci è sembrato sospetto l'improvviso aumento del numero totale di email per uno dei nostri clienti. La sua infrastruttura è piccola, il numero di email è limitato. E improvvisamente, dopo una giornata lavorativa, il numero di spam bloccato è aumentato quasi di due volte. Abbiamo deciso di osservare più attentamente.
Notiamo che è aumentato il numero di email in uscita, e in tutti i campi «Mittente» ci sono indirizzi del dominio che è collegato al servizio di protezione della posta. Ma c'è un aspetto particolare: tra indirizzi del tutto plausibili, che potrebbero anche esistere, ci sono quelli evidentemente strani. Abbiamo controllato gli IP da cui sono state inviate le email e, come previsto, si è rivelato che non appartengono allo spazio di indirizzi protetto. È chiaro che un malintenzionato stava inviando spam a nome del cliente.
In questo caso, abbiamo fornito al cliente raccomandazioni per una corretta configurazione dei record DNS, in particolare per l'SPF. Il nostro specialista ha consigliato di creare un record TXT con la regola «v=spf1 mx ip:1.2.3.4/23 -all», che contiene un elenco esaustivo di indirizzi autorizzati a inviare email a nome del dominio protetto.
In realtà, perché è importante: lo spam da parte di una piccola azienda sconosciuta è fastidioso, ma non critico. Tuttavia, la situazione cambia radicalmente, ad esempio, nel settore bancario. Dalle nostre osservazioni, il livello di fiducia della vittima in una email di phishing aumenta notevolmente se questa è inviata apparentemente da un dominio di un'altra banca o da un noto partner commerciale. E questo non riguarda solo i dipendenti bancari; troviamo la stessa tendenza in altri settori, come quello energetico.
Eliminiamo i virus
Tuttavia, lo spoofing non è un problema comune come ad esempio le infezioni virali. E come si combattono più spesso le epidemie virali? Si installa un antivirus e si spera che "il nemico non passi". Ma se fosse tutto così semplice, considerando il costo relativamente basso degli antivirus, tutti avrebbero già dimenticato il problema del malware. Nel frattempo, continuiamo a ricevere richieste del tipo "aiutateci a recuperare i file, tutto è stato criptato, il lavoro è fermo, i dati sono persi". Non ci stancheremo mai di ripetere ai clienti che anche l'antivirus non è una panacea. Oltre al fatto che le basi antivirus possono non aggiornarsi abbastanza rapidamente, ci imbattiamo spesso in malware in grado di bypassare non solo gli antivirus, ma anche le sandbox.
Sfortunatamente, pochi tra i normali dipendenti delle organizzazioni sono a conoscenza delle email di phishing e dannose e sono in grado di distinguerle dalla corrispondenza normale. In media, ogni settimo utente che non partecipa a una formazione regolare sulla consapevolezza cade nella trappola della ingegneria sociale: apre un file infetto o invia i propri dati ai criminali.
Sebbene il vettore social di attacco sia aumentato gradualmente nel tempo, lo scorso anno questa tendenza è diventata particolarmente evidente. Le email di phishing hanno iniziato a somigliare sempre di più alle consuete comunicazioni su promozioni, eventi futuri, ecc. A questo proposito, possiamo ricordare l'attacco Silence al settore finanziario: i dipendenti delle banche ricevevano email apparentemente contenenti un codice promozionale per partecipare alla popolare conferenza di settore iFin, e la percentuale di chi è caduto nella trappola è stata molto alta, nonostante si parlasse del settore bancario, noto per essere all'avanguardia in termini di sicurezza informatica.
Nell'anno scorso, prima delle festività di Capodanno, abbiamo osservato diverse situazioni piuttosto curiose, in cui i dipendenti di aziende industriali hanno ricevuto e-mail di phishing di alta qualità contenenti un "elenco" di offerte di Capodanno nei popolari negozi online e codici promozionali per sconti. Non solo i dipendenti hanno cercato di cliccare sui link, ma hanno anche inoltrato l'e-mail ai colleghi di organizzazioni affini. Poiché il sito web indicato nel messaggio di phishing era bloccato, i dipendenti hanno iniziato a inviare richieste di accesso al servizio IT. Insomma, il successo della campagna di phishing ha superato ogni aspettativa dei delinquenti.
Recentemente ci ha contattati un'azienda che è stata colpita da un attacco informatico. Tutto è cominciato quando i dipendenti della contabilità hanno ricevuto un'email apparentemente dal Banco Centrale della Federazione Russa. Un contabile ha cliccato sul link contenuto nell'email e ha scaricato un miner chiamato WannaMine, che, come il noto WannaCry, sfruttava la vulnerabilità EternalBlue. La cosa interessante è che la maggior parte dei programmi antivirus è in grado di rilevarne le firme già dall'inizio del 2018. Tuttavia, che l'antivirus fosse disattivato, che le basi non fossero aggiornate, o che semplicemente non fosse presente, in ogni caso il miner era già sul computer e nulla ha ostacolato la sua propagazione nella rete, caricando il CPU server e l'ARM al 100%.
Questo cliente, dopo aver ricevuto il rapporto del nostro team di forenzica, ha constatato che inizialmente il virus era penetrato attraverso l'email e ha avviato un progetto pilota per l'implementazione di un servizio di protezione della posta elettronica. La prima cosa che abbiamo configurato è stata un antivirus per email. Il monitoraggio dei malware avviene costantemente, e gli aggiornamenti delle firme inizialmente avvenivano ogni ora, poi il cliente è passato a una frequenza di due volte al giorno.
Una protezione efficace contro le infezioni virali deve essere stratificata. Parlando della trasmissione di virus tramite email, è necessario filtrare tali messaggi all'ingresso, formare gli utenti a riconoscere la social engineering, e solo dopo contare su antivirus e sandbox.
sempre in guardia
Certo, non affermiamo che le soluzioni del tipo Secure Email Gateway siano una panacea. Gli attacchi mirati, incluso il phishing mirato, sono estremamente difficili da prevenire, poiché ogni attacco è «personalizzato» per un destinatario specifico (un'organizzazione o una persona). Ma per un'azienda che cerca di garantire un livello di sicurezza di base, questo è già molto, soprattutto con l'esperienza e l'expertise giustamente applicate al compito.
Più spesso, nella realizzazione di phishing mirato, nel corpo delle email non vengono incluse allegati malevoli, altrimenti il sistema antispam bloccherebbe subito tale email prima che arrivi al destinatario. Invece, vengono inclusi nel testo dell'email link a una risorsa web predisposta in anticipo, e a quel punto il gioco è fatto. L'utente clicca sul link e, dopo alcuni reindirizzamenti, in pochi secondi si ritrova sull'ultimo della catena, il cui accesso caricherà sul suo computer il malevolo.
Ancora più subdolo: nel momento in cui riceve l'email, il link può sembrare innocuo e solo dopo un certo tempo, quando è stato già scansionato e approvato, inizierà a reindirizzare verso il contenuto malevolo. Purtroppo, gli specialisti di Solar JSOC, anche tenendo conto delle loro competenze, non potranno configurare il gateway di posta in modo da 'vedere' i malevoli lungo tutta la catena (anche se come protezione si può utilizzare la sostituzione automatica di tutti i link nelle email con SEG, affinché quest'ultimo scansi il link non solo al momento della consegna dell'email, ma ad ogni clic).
Nel frattempo, anche con un reindirizzamento tipico, l'aggregazione di diverse expertise, inclusi i dati forniti dal nostro JSOC CERT e l'OSINT, aiuta a gestire la situazione. Questo permette di creare elenchi neri avanzati, sui quali anche una email con multipli reindirizzamenti sarà bloccata.
L'uso di SEG è solo un piccolo mattone nel muro che ogni organizzazione desidera costruire per proteggere i propri asset. Ma anche questo elemento deve essere posizionato correttamente nell'insieme, perché anche un SEG, se configurato correttamente, può diventare un efficace strumento di protezione.
Kseniya Sadunina, consulente nel dipartimento di pre-vendita di prodotti e servizi Solar JSOC
Fonte: habr.com
