Immagina una situazione del genere. Una fredda mattina di ottobre, un istituto di progettazione in un centro regionale della Russia. Qualcuno del reparto risorse umane accede a una delle pagine di lavoro sul sito dell'istituto, pubblicata qualche giorno fa, e vede una foto di un gatto. La mattina smette di essere noiosa…
In questo articolo, Pavel Suprunyuk, responsabile tecnico del dipartimento di audit e consulenza di Group-IB, racconta quale ruolo occupano gli attacchi sociotecnici nei progetti di valutazione della sicurezza pratica, quali forme inusuali possono assumere e come difendersi da tali attacchi. L'autore precisa che l'articolo ha un carattere di revisione, tuttavia, se qualche aspetto susciterà l'interesse dei lettori, gli esperti di Group-IB risponderanno volentieri alle domande nei commenti.
Parte 1. Perché così seri?
Torniamo al nostro gatto. Dopo un po', il reparto risorse umane cancella la foto (gli screenshot qui e in seguito sono parzialmente oscurati per non rivelare i nomi reali), ma essa continua a riapparire, viene nuovamente rimossa, e ciò accade altrettante volte. Nel reparto risorse umane capiscono che le intenzioni del gatto sono molto serie, non ha intenzione di andarsene, e chiamano in aiuto un programmatore web — la persona che ha creato il sito e lo gestisce attualmente. Il programmatore accede al sito, rimuove ancora una volta il gatto fastidioso, scopre che è stato caricato a nome del reparto risorse umane, e poi suppone che la password del reparto risorse umane sia stata rubata da qualche teppista del web, quindi la cambia. Il gatto non riappare più.
Cosa è realmente successo? Per quanto riguarda il gruppo di aziende a cui apparteneva l'istituto, gli specialisti di Group-IB hanno condotto un test di penetrazione in un formato simile al Red Teaming (in altre parole, si tratta di simulare attacchi mirati alla tua azienda utilizzando i metodi e gli strumenti più avanzati a disposizione dei gruppi di hacker). Abbiamo parlato dettagliatamente del Red Teaming. . È importante sapere che durante un tale test può essere utilizzato un ampio ventaglio di attacchi tra quelli previamente concordati, inclusa l'ingegneria sociale. È chiaro che il semplice caricamento del gatto non era l'obiettivo finale di quanto stava accadendo. Ma il vero obiettivo era il seguente:
- il sito web dell'istituto era ospitato su un server all'interno della rete dell'istituto, e non su server esterni;
- è stata trovata una fuga della registrazione del dipartimento delle risorse umane (file di log delle lettere nella radice del sito). Non era possibile amministrare il sito con questo account, ma era possibile modificare le pagine delle offerte di lavoro;
- modificando le pagine, era possibile inserire i propri script in JavaScript. Di solito rendono le pagine interattive, ma in questa situazione questi stessi script potevano rubare dal browser del visitatore ciò che differenziava il dipartimento delle risorse umane dal programmatore e il programmatore dal semplice visitatore: l'identificativo di sessione sul sito. Il gatto era il trigger dell'attacco e l'immagine per attirare l'attenzione. In linguaggio di markup HTML appariva così: se l'immagine si caricava, JavaScript era già stato eseguito e il tuo identificativo di sessione insieme ai dati sul tuo browser e all'indirizzo IP era già stato rubato.
- Con l'identificativo di sessione dell'amministratore si potrebbe ottenere accesso completo al sito, caricare pagine eseguibili in PHP, e quindi accedere al sistema operativo del server, e poi alla rete locale stessa, il che era un'importante obiettivo intermedio del progetto.
L'attacco si è concluso con un successo parziale: l'identificativo di sessione dell'amministratore è stato rubato, ma era legato all'indirizzo IP. Non siamo riusciti a bypassare questo, non siamo riusciti ad elevare i privilegi sul sito a quelli da amministratore, ma ci siamo almeno migliorati l'umore. Infine, abbiamo ottenuto il risultato su un'altra parte del perimetro di rete.
Parte 2. Ti scrivo — cosa c'è di più? E chiamo e sto nel tuo ufficio, lasciando cadere le chiavette USB.
Ciò che è accaduto nella situazione con il gatto è un esempio di ingegneria sociale, anche se non proprio classico. In realtà, in questa storia ci sono stati più eventi: c'era sia il gatto che l'istituto, il dipartimento delle risorse umane e un programmatore, ma ci sono state anche email con domande di chiarimento, scritte da presunti "candidati" al dipartimento delle risorse umane e direttamente al programmatore, al fine di provocare la loro visita alla pagina del sito.
A proposito delle email. Una semplice email è probabilmente il principale mezzo di ingegneria sociale, non ha perso la sua attualità per decenni e talvolta porta alle conseguenze più inaspettate.
La prossima storia la raccontiamo spesso nei nostri eventi, poiché è molto rappresentativa.
Di solito, in base ai risultati dei progetti di ingegneria sociale, compiliamo delle statistiche che, come si sa, sono un argomento piuttosto secco e noioso. Un certo numero di destinatari ha aperto l'allegato dell'email, un certo numero ha cliccato sul link, e queste tre persone hanno addirittura inserito il proprio nome utente e password. In un progetto abbiamo registrato più del 100% di inserimenti di password, il che significa che ci sono stati più accessi di quelli che abbiamo inviato.
È successo in questo modo: è stata inviata un'email di phishing, apparentemente da parte del CISO di una grande azienda statale, con la richiesta di «testare urgentemente le modifiche al servizio di posta». L'email è arrivata al responsabile di un'importante divisione che si occupava di supporto tecnico. Il responsabile era molto diligente nell'eseguire gli incarichi dell'alta dirigenza e l'ha inoltrata a tutti i suoi subordinati. Il call center stesso si è rivelato piuttosto grande. In generale, è abbastanza comune che qualcuno inoltri email di phishing
Poco dopo ci hanno scoperto (l'email è stata trovata in una casella di posta compromessa):
Questo successo nell'attacco è stato causato dal fatto che, durante l'invio, sono stati sfruttati alcuni difetti tecnici del sistema di posta del cliente. Era configurato in modo tale da consentire l'invio di qualsiasi email a nome di qualsiasi mittente dell'organizzazione, senza autenticazione, anche dall'internet. In altre parole, era possibile spacciarsi per il CISO, o il capo del supporto tecnico, o qualcun altro. Inoltre, l'interfaccia di posta, osservando le email dal «proprio» dominio, inseriva gentilmente la foto dalla rubrica, il che aggiungeva un tocco di realismo al mittente.
A dire il vero, questo tipo di attacco non rientra nelle tecnologie particolarmente complesse, ma è una riuscita sfruttamento di una semplice configurazione errata della posta. Viene regolarmente discusso in risorse informatiche e sulla sicurezza informatica, eppure ci sono ancora aziende che presentano tali vulnerabilità. Poiché nessuno è incline a controllare meticolosamente le intestazioni del protocollo di posta SMTP, l'email viene solitamente analizzata per il «rischio» in base ai simboli di avviso dell'interfaccia della posta, che non sempre mostrano il quadro completo.
È interessante notare che una vulnerabilità simile può agire anche in senso opposto: un aggressore può inviare un'email a un destinatario esterno a nome della vostra azienda. Ad esempio, può falsificare una fattura di pagamento ricorrente a vostro nome, indicando altri dati invece dei vostri. Se non consideriamo le questioni di antifrode e di incasso di fondi, questo è probabilmente uno dei modi più semplici per rubare denaro attraverso l'ingegneria sociale.
Oltre al furto di password tramite phishing, un classico delle attacchi socio-tecnici è l'invio di allegati eseguibili. Se questi allegati superano tutte le misure di protezione, che le aziende moderne hanno di solito in abbondanza, si apre un canale di accesso remoto al computer della vittima. Per dimostrare le conseguenze dell'attacco, il controllo remoto ottenuto può essere esteso fino all'accesso a informazioni confidenziali di particolare importanza. Va notato che la stragrande maggioranza degli attacchi di cui ci avvertono i media inizia proprio in questo modo.
Nel nostro dipartimento di auditing, per curiosità, calcoliamo statistiche approssimative: qual è il valore totale degli asset delle aziende a cui abbiamo avuto accesso a livello di "Amministratore di Dominio" principalmente tramite phishing e invio di allegati eseguibili? Quest'anno ha raggiunto circa 150 miliardi di euro.
È chiaro che l'invio di email provocatorie e la pubblicazione di foto di gatti sui siti non sono gli unici modi di ingegneria sociale. In questi esempi abbiamo cercato di mostrare la varietà delle forme di attacco e delle loro conseguenze. Oltre alle email, un potenziale aggressore può telefonare per ottenere le informazioni necessarie, distribuire supporti (come pen drive) con file eseguibili nell'ufficio dell'azienda target, ottenere un lavoro come stagista, e guadagnare accesso fisico alla rete locale fingendosi un tecnico di installazione di telecamere di sorveglianza. Tutto questo, tra l'altro, è tratto dai nostri progetti conclusi con successo.
Parte 3. L'apprendimento è luce, mentre gli ignoranti sono oscurità
Sorge una domanda legittima: va bene, c'è l'ingegneria sociale, sembra pericolosa, ma cosa devono fare le aziende con tutto ciò? Aiuto viene dal Capitano Ovvio: bisogna difendersi, in modo complesso. Una parte della protezione sarà indirizzata alle misure di sicurezza già diventate classiche, come i mezzi tecnici di protezione delle informazioni, il monitoraggio, la regolamentazione organizzativa e legale dei processi, ma a nostro avviso la parte principale deve essere focalizzata sul lavoro diretto con i dipendenti come il anello più debole. Infatti, per quanto tu possa rafforzare la tecnologia, scrivere regolamenti severi, ci sarà sempre un utente che aprirà nuovi modi per rompere tutto. Inoltre, né i regolamenti né la tecnologia riusciranno a stare al passo con il volo della creatività dell'utente, soprattutto se assistito da un criminale esperto.
In primo luogo, è importante formare l'utente: spiegare che anche nel suo lavoro quotidiano potrebbero sorgere situazioni legate all'ingegneria sociale. Per i nostri clienti, spesso organizziamo sulla igiene digitale — un evento che insegna le competenze di base per contrastare gli attacchi in generale.
Posso aggiungere che una delle migliori misure di protezione non sarà affatto la memorizzazione delle regole di sicurezza informatica, ma una valutazione un po' distaccata della situazione:
- Chi è il mio interlocutore?
- Da dove provengono la sua proposta o richiesta (non è mai successo prima, e ora è apparso)?
- Cosa c'è di insolito in questa richiesta?
Anche un tipo di carattere insolito o uno stile di comunicazione non comune all'autore possono innescare una serie di dubbi che fermano l'attacco. Le istruzioni scritte sono necessarie, ma funzionano in modo diverso e non possono specificare tutte le possibili situazioni. Ad esempio, gli amministratori della sicurezza informatica scrivono in esse che non si deve inserire la propria password su risorse esterne. E se una risorsa di rete 'propria', 'aziendale' chiede la password? L'utente pensa: 'Nella nostra azienda ci sono già due dozzine di servizi con un unico account, perché non dovrebbe apparirne un altro?' Da qui scaturisce un'altra regola: un processo di lavoro ben strutturato influisce direttamente sulla sicurezza: se un dipartimento vicino può richiedere informazioni solo per iscritto e solo attraverso il proprio responsabile, una persona 'da un partner fidato dell'azienda' non potrà certamente richiederle per telefono — per te sarà un assurdo. È particolarmente opportuno essere cauti se il tuo interlocutore richiede che tutto venga fatto immediatamente, o 'ASAP', come si suole scrivere. Anche nel lavoro ordinario una situazione del genere non è spesso sana, e in presenza di possibili attacchi — è un forte trigger. Non c'è tempo per spiegare, avvia il mio file!
Notiamo che gli utenti sono sempre influenzati da temi legati al denaro in modo sociotecnico durante gli attacchi: promesse di aumenti, privilegi, regali, così come informazioni su presunti pettegolezzi e intrighi locali. In altre parole, si approfitta dei banali 'sette peccati capitali': brama di guadagno, avarizia e curiosità eccessiva.
Una buona formazione deve sempre includere la pratica. Qui possono intervenire esperti di test di penetrazione. La domanda successiva è: cosa e come testeremo? In Group-IB proponiamo il seguente approccio: scegliere immediatamente il focus del test: valutare la prontezza agli attacchi degli utenti stessi o verificare la sicurezza dell'azienda nel suo complesso. E testare con metodi di ingegneria sociale, simulando attacchi reali — cioè gli stessi phishing, invio di documenti eseguibili, chiamate e altre tecniche.
Nel primo caso, l'attacco viene preparato con attenzione insieme ai rappresentanti del cliente, in particolare con i suoi specialisti IT e di sicurezza informatica. Si concordano leggende, strumenti e tecniche di attacco. Il cliente fornisce gruppi di focus e liste di utenti per l'attacco, che includono tutti i contatti necessari. Vengono create eccezioni nei sistemi di protezione, poiché i messaggi e i payload devono necessariamente raggiungere il destinatario; infatti, in un progetto del genere, l'interesse si concentra esclusivamente sulla reazione delle persone. Facoltativamente, si possono inserire marker nell'attacco, grazie ai quali l'utente può intuire che si tratta proprio di un attacco, per esempio, si possono inserire alcuni errori ortografici nei messaggi o lasciare imprecisioni nella riproduzione dello stile aziendale. Al termine del progetto, si ottiene la cosiddetta "statistica secca": quali gruppi di focus e in che misura hanno reagito agli scenari.
Nel secondo caso, l'attacco viene condotto senza alcuna conoscenza preliminare, con il metodo del "cassetto nero". Raccoglieremo informazioni sull'azienda, sui suoi dipendenti, sul perimetro di rete, formuliamo leggende per l'attacco, scegliamo metodi, identifichiamo i possibili strumenti di protezione utilizzati nell'azienda target, adattiamo gli strumenti e componiamo scenari. I nostri esperti utilizzano sia metodi classici di intelligence da fonti aperte (OSINT), sia il prodotto di nostra sviluppo, Group-IB — Threat Intelligence, un sistema che, nella preparazione per il phishing, può fungere da aggregatore di informazioni sull'azienda nel lungo periodo, utilizzando anche informazioni riservate. Ovviamente, affinché l'attacco non risulti una sorpresa spiacevole, i suoi dettagli vengono concordati anche con il cliente. Si ottiene un test di penetrazione completo, ma alla base ci sarà una sofisticata ingegneria sociale. Una scelta logica in questo caso è lo sviluppo dell'attacco all'interno della rete, fino a ottenere diritti elevati nei sistemi interni. Tra l'altro, applichiamo attacchi socio-tecnici anche in , e in alcuni test di penetrazione. Di conseguenza, il cliente riceverà una visione indipendente e complessiva della propria protezione contro un certo tipo di attacchi socio-tecnici, nonché una dimostrazione dell'efficacia (o viceversa, inefficacia) della linea difensiva costruita contro le minacce esterne.
Consigliamo di effettuare una formazione del genere almeno due volte all'anno. In primo luogo, in ogni azienda c'è un turnover del personale e l'esperienza precedente viene gradualmente dimenticata dai dipendenti. In secondo luogo, i metodi e le tecniche di attacco cambiano costantemente, il che porta alla necessità di adattare i processi di sicurezza e i mezzi di protezione.
Se parliamo di misure tecniche di protezione contro gli attacchi, le seguenti aiutano maggiormente:
- La presenza di autenticazione a due fattori obbligatoria nei servizi pubblicati su internet. Rilasciare nel 2019 tali servizi senza sistemi Single Sign On, senza protezione contro gli attacchi di brute force e senza autenticazione a due fattori in un'azienda di diverse centinaia di persone è equivalente a un invito aperto a "rompimi". Una protezione implementata correttamente renderà impossibile l'uso rapido delle password rubate e darà tempo per affrontare le conseguenze di un attacco di phishing.
- Controllo della delimitazione dell'accesso, minimizzazione dei privilegi degli utenti all'interno dei sistemi e osservanza delle linee guida per la configurazione sicura dei prodotti forniti da ciascun grande produttore. Questi sono spesso misure che, pur essendo semplici nella loro essenza, risultano molto efficaci e complesse nella loro realizzazione pratica, e che tutti tendono a trascurare in favore della velocità operativa. Alcune di esse sono così necessarie che senza di esse nessun sistema di protezione è in grado di salvare.
- Una linea di filtraggio della posta elettronica ben progettata. Antispam, controllo totale degli allegati per rilevare codice dannoso, inclusi test dinamici tramite sandbox. Un attacco ben preparato implica che l'allegato eseguibile non verrà rilevato dai software antivirus. La sandbox, al contrario, controllerà tutto utilizzando i file proprio come farebbe un essere umano. Di conseguenza, qualsiasi componente dannoso potenziale verrà rivelato dalle modifiche effettuate all'interno della sandbox.
- Strumenti di difesa dagli attacchi mirati. Come già sottolineato, i tradizionali software antivirus non rileveranno i file dannosi in caso di attacco ben pianificato. I prodotti più avanzati devono monitorare automaticamente l'insieme degli eventi che si verificano nella rete, sia a livello di singolo host sia a livello di traffico all'interno della rete. In caso di attacchi si manifestano catene di eventi molto caratteristici, che possono essere tracciati e fermati se si dispone di un monitoraggio focalizzato su eventi di questo tipo.
Originale dell'articolo nel magazine «Information Security/ Информационная безопасность» #6, 2019.
Fonte: habr.com
