Immaginate una situazione del genere. Un freddo mattino di ottobre, un istituto di progettazione in un centro regionale della Russia. Qualcuno del reparto risorse umane accede a una delle pagine delle assunzioni sul sito dell'istituto, pubblicata qualche giorno fa, e vede lì una foto di un gatto. La mattina smette di essere noiosa rapidamente…
In questo articolo, Pavel Suprunyuk, direttore tecnico del dipartimento di auditing e consulenza di Group-IB, parla del ruolo degli attacchi sociotecnici nei progetti di valutazione della sicurezza pratica, delle forme insolite che possono assumere e di come proteggersi da tali attacchi. L'autore chiarisce che l'articolo ha un carattere generale, tuttavia, se qualche aspetto suscita l'interesse dei lettori, gli esperti di Group-IB saranno felici di rispondere alle domande nei commenti.
Parte 1. Perché così seri?
Torniamo al nostro gatto. Dopo un po', il reparto risorse umane rimuove la foto (le schermate qui e in seguito sono parzialmente ritoccate per non rivelare i veri nomi), ma essa torna insistentemente, viene rimossa di nuovo, e così via per diverse volte. Nel reparto risorse umane comprendono che le intenzioni del gatto sono molto serie, non vuole andarsene, e chiamano in aiuto un programmatore web — la persona che ha creato il sito e lo gestisce attualmente. Il programmatore accede al sito, rimuove di nuovo il gatto fastidioso, scopre che era stato pubblicato a nome dello stesso reparto risorse umane, poi ipotizza che la password del reparto risorse umane sia trapelata a qualche burlone della rete e la cambia. Il gatto non appare più.
Cosa è successo realmente? Rispetto al gruppo di aziende di cui faceva parte l'istituto, gli specialisti di Group-IB hanno condotto un test di penetrazione in un formato vicino al Red Teaming (in termini semplici, si tratta di simulare attacchi mirati alla vostra azienda utilizzando i metodi e gli strumenti più avanzati delle bande di hacker). Abbiamo parlato in dettaglio del Red Teaming. . È importante sapere che durante un tale test può essere utilizzata una vasta gamma di attacchi previo accordo, inclusa l'ingegneria sociale. È chiaro che la semplice pubblicazione del gatto non era l'obiettivo finale di quanto accaduto. L'obiettivo era il seguente:
- il sito web dell'istituto era ospitato su un server all'interno della rete dell'istituto, e non su server esterni;
- è stata trovata una fuga della credenziale del reparto risorse umane (un file di registro di email nella radice del sito). Non era possibile amministrare il sito con questa credenziale, ma era possibile modificare le pagine delle assunzioni;
- modificando le pagine, era possibile inserire i propri script in JavaScript. Di solito, questi rendono le pagine interattive, ma in questa situazione, gli stessi script potevano rubare dal browser del visitatore ciò che differenziava il reparto risorse umane dal programmatore e il programmatore da un semplice visitatore — l'identificatore di sessione sul sito. Il gatto era il trigger dell'attacco e l'immagine per attirare attenzione. Nel linguaggio di markup dei siti HTML, appariva così: se l'immagine si caricava, JavaScript era già stato eseguito e il proprio identificatore di sessione insieme ai dati sul proprio browser e indirizzo IP era già stato rubato.
- Con l'identificatore di sessione dell'amministratore rubato, si poteva ottenere accesso completo al sito, pubblicare pagine eseguibili in PHP, il che significava accedere al sistema operativo del server e poi nella rete locale stessa, che era l'obiettivo intermedio importante del progetto.
L'attacco si è concluso con un successo parziale: l'identificatore di sessione dell'amministratore è stato rubato, ma era legato all'indirizzo IP. Non è stato possibile superare questo ostacolo, non siamo riusciti a elevare i privilegi sul sito a quelli da amministratore, ma abbiamo migliorato il nostro umore. Il risultato finale è stato ottenuto su un'altra parte del perimetro di rete.
Parte 2. Ti scrivo — e cos'altro? E in più ti chiamo e mi presento nel tuo ufficio, facendo cadere chiavette USB
Ciò che è accaduto nella situazione con il gatto è un esempio di ingegneria sociale, anche se non del tutto classica. In effetti, in questa storia ci sono stati più eventi: c'è stato il gatto, l'istituto, il reparto risorse umane, e il programmatore, ma c'erano anche email elettroniche con domande di chiarimento, scritte da presunti "candidati" direttamente al reparto risorse umane e al programmatore, per indurli a visitare la pagina del sito.
A proposito delle email. Un'email ordinaria — probabilmente il principale medio per la conduzione di ingegneria sociale — non perde la sua rilevanza da decenni e a volte porta a conseguenze molto insolite.
Raccontiamo spesso la storia successiva nei nostri eventi, dato che è molto indicativa.
Di solito, alla fine dei progetti di ingegneria sociale, redigiamo delle statistiche, che, come si sa, sono noiose e poco interessanti. Una certa percentuale di destinatari ha aperto l'allegato dell'email, un'altra ha cliccato sul link, e tre di loro hanno persino inserito le proprie credenziali. In un progetto, abbiamo registrato oltre il 100% di inserimenti di password, cioè più di quanti ne siano stati inviati.
È accaduto così: è stata inviata un'email di phishing, presumibilmente dal CISO di una grande corporation, con la richiesta di "testare urgentemente le modifiche nel servizio email". L'email è arrivata al responsabile di un'importante divisione che si occupava dell'assistenza tecnica. Questo responsabile era molto diligente nel seguire le richieste dei superiori e l'ha inoltrata a tutti i suoi subordinati. Il call center si è rivelato piuttosto grande. In generale, situazioni in cui qualcuno inoltra email di phishing "interessanti" ai propri colleghi e anche loro ci cascano, sono abbastanza comuni. Per noi, questo è il miglior feedback sulla qualità della scrittura dell'email.
Poco dopo ci hanno smascherati (l'email è stata prelevata da una casella di posta compromessa):
Il successo di questo attacco è stato determinato dal fatto che durante l'invio è stata sfruttata una serie di vulnerabilità tecniche nel sistema di posta del cliente. Era configurato in modo tale da consentire l'invio di qualsiasi email a nome di qualsiasi mittente dell'organizzazione, senza autorizzazione, anche da Internet. In altre parole, era possibile fingersi il CISO, o il capo dell'assistenza tecnica, o qualcun altro. Inoltre, l'interfaccia della posta, vista l'email dal "proprio" dominio, inseriva automaticamente una foto dalla rubrica, il che aggiungeva naturalità al mittente.
In verità, questo tipo di attacco non rientra tra le tecnologie particolarmente complesse; è un'abile sfruttamento di una semplice mancanza di configurazione della posta. Viene regolarmente trattato in risorse specializzate di IT e sicurezza informatica, eppure ci sono ancora aziende che presentano queste problematiche. Poiché nessuno è propenso a controllare in dettaglio le intestazioni del protocollo di posta SMTP, l'email viene solitamente verificata per "pericoli" in base ai segnali di avviso dell'interfaccia della posta, che non mostrano sempre l'intera situazione.
È interessante notare che questa vulnerabilità funziona anche nella direzione opposta: un malintenzionato può inviare un'email a nome della tua azienda a un destinatario esterno. Ad esempio, può falsificare una fattura per pagamenti ricorrenti a tuo nome, indicando altre informazioni bancarie al posto delle tue. Se non consideriamo le questioni di antifrode e incasso, questo è probabilmente uno dei metodi più semplici per rubare denaro tramite ingegneria sociale.
Oltre al furto delle password tramite phishing, una classica forma di attacco socio-tecnico è l'invio di allegati eseguibili. Se questi allegati superano tutte le misure di protezione, che di solito le aziende moderne adottano, si crea un canale di accesso remoto al computer della vittima. Per dimostrare le conseguenze di un attacco, il controllo remoto ottenuto può essere esteso fino all'accesso a informazioni particolarmente importanti e riservate. È notevole che la stragrande maggioranza degli attacchi di cui i media ci spaventano inizia proprio in questo modo.
Nel nostro dipartimento di audit, per puro interesse, calcoliamo una stima approssimativa: qual è il valore totale degli attivi delle aziende a cui abbiamo avuto accesso a livello di "Amministratore di dominio" principalmente grazie al phishing e all'invio di allegati eseguibili? Quest'anno ha raggiunto circa 150 miliardi di euro.
È chiaro che l'invio di email provocatorie e la pubblicazione di foto di gatti su siti web non sono gli unici metodi di ingegneria sociale. In questi esempi abbiamo cercato di mostrare la varietà delle forme di attacco e delle loro conseguenze. Oltre alle email, un potenziale attaccante può telefonare per ottenere informazioni necessarie, disseminare supporti (ad esempio, chiavette USB) con file eseguibili nell'ufficio della società target, assumersi come stagista, o ottenere accesso fisico alla rete locale spacciandosi per un installatore di telecamere di sicurezza. Tutti questi, tra l'altro, sono esempi dei nostri progetti conclusi con successo.
Parte 3. L'apprendimento è luce, l'ignoranza è oscurità.
Sorgevoli domande emergono: bene, c'è la social engineering, sembra pericoloso, ma cosa dovrebbero fare le aziende riguardo a tutto questo? Corre in aiuto il Capitano Ovvietà: è necessario difendersi, e in modo complessivo. Una parte della difesa sarà orientata verso misure di sicurezza già consolidate, come strumenti tecnici per la protezione dell'informazione, monitoraggio e supporto normativo dei processi, ma la maggior parte, a nostro avviso, deve essere indirizzata al lavoro diretto con i dipendenti come il punto più debole. Infatti, per quanto si rinforzi la tecnologia o si redigano regolamenti rigorosi, ci sarà sempre un utente che scoprirà nuovi modi per compromettere il sistema. E né regolamenti né tecnologia staranno al passo con la creatività dell'utente, soprattutto se assistito da un malintenzionato qualificato.
In primo luogo, è fondamentale formare l'utente: spiegare che anche nel suo lavoro quotidiano possono sorgere situazioni legate alla social engineering. Per i nostri clienti, spesso organizziamo sulla sicurezza digitale — eventi che insegnano abilità di base per contrastare attacchi in generale.
Posso aggiungere che una delle migliori misure di protezione non sarà affatto la memorizzazione delle regole di sicurezza informatica, ma una valutazione un po' distaccata della situazione:
- Chi è il mio interlocutore?
- Da dove proviene la sua proposta o richiesta (non è mai successo prima, e adesso è apparso)?
- Cosa c'è di strano in questa richiesta?
Anche un tipo di carattere insolito in una mail o uno stile di scrittura non consueto per un mittente possono attivare una catena di dubbi che fermerà l'attacco. Certo, le istruzioni scritte sono necessarie, ma funzionano in modo diverso e non possono coprire tutte le possibili situazioni. Ad esempio, gli amministratori della sicurezza informatica scrivono che non si deve inserire la propria password su risorse di terze parti. E se la password è richiesta da una risorsa di rete 'propria' o 'corporativa'? L'utente pensa: 'Nella nostra azienda ci sono già una dozzina di servizi con un unico account, perché non dovrebbe apparirne un altro?' Da ciò deriva un'altra regola: un processo di lavoro ben strutturato influisce direttamente sulla sicurezza: se un dipartimento vicino può richiedere informazioni solamente per iscritto e solo attraverso il proprio supervisore, una persona 'da un partner fidato' non potrà mai richiederle per telefono — sarà per te un'assurdità. È particolarmente importante sospettare se il tuo interlocutore richiede di fare tutto immediatamente, o 'ASAP', come si usa scrivere. Anche nella routine lavoro, tale situazione spesso non è sana, e in condizioni di possibili attacchi — rappresenta un forte segnale di allerta. Non c'è tempo per spiegare, esegui il mio file!
Notiamo che nelle leggende per gli attacchi sociodigitali, gli utenti sono sempre influenzati da temi legati al denaro in qualche forma: promesse di aumenti, privilegi, regali e informazioni apparentemente basate su pettegolezzi e intrighi locali. In altre parole, i banali 'peccati capitali' sono efficaci: la brama di guadagno, l'avidità e una curiosità eccessiva.
Una buona formazione deve sempre includere la pratica. Qui possono intervenire specialisti in penetration testing. La domanda successiva è: cosa e come testeremo? Noi di Group-IB proponiamo il seguente approccio: scegliere immediatamente un focus di test: o valutare la prontezza agli attacchi degli utenti, o verificare la sicurezza complessiva dell'azienda. E testare con metodi di social engineering, simulando attacchi reali — cioè con phishing, invio di documenti eseguibili, chiamate e altre tecniche.
Nel primo caso, l'attacco è accuratamente pianificato insieme ai rappresentanti del cliente, principalmente con i suoi specialisti IT e di sicurezza. Si concordano leggende, strumenti e tecniche di attacco. Il cliente fornisce i gruppi target e liste di utenti per l'attacco, comprendendo tutti i contatti necessari. Vengono create eccezioni nei sistemi di protezione, poiché i messaggi e i carichi eseguibili devono necessariamente arrivare al destinatario, dato che in un progetto del genere l'interesse risiede solo nella reazione delle persone. Facoltativamente, si possono integrare nell'attacco dei marker, che permettano agli utenti di capire che si tratta di un attacco — ad esempio, si possono commettere errori ortografici nei messaggi o lasciare imprecisioni nella copiatura dello stile aziendale. Alla fine del progetto, si ottiene quella 'statistica secca': quali gruppi target e in quale misura hanno reagito agli scenari.
Nel secondo caso, l'attacco è condotto con conoscenze di partenza nulle, utilizzando il metodo del «black box». Raccogliamo noi stessi informazioni sull'azienda, sui suoi dipendenti, sul perimetro di rete, formuliamo leggende per l'attacco, scegliamo metodi e cerchiamo possibili strumenti di protezione utilizzati dall'azienda target, adattiamo gli strumenti e creiamo scenari. I nostri specialisti utilizzano sia metodi classici di intelligence da fonti aperte (OSINT) che il prodotto di nostra concezione, Group-IB — Threat Intelligence, un sistema che può fungere da aggregatore di informazioni sull'azienda in preparazione per il phishing, utilizzando anche informazioni riservate. Naturalmente, affinché l'attacco non sia una sorpresa sgradita, i suoi dettagli vengono concordati anche con il cliente. Si ottiene un test di penetrazione completo, ma alla base ci sarà un'ingegneria sociale avanzata. Un'opzione logica in questo caso è l'evoluzione dell'attacco all'interno della rete, fino all'ottenimento dei massimi diritti nei sistemi interni. A proposito, utilizziamo attacchi sociotecnici similmente anche in , e in alcuni test di penetrazione. Di conseguenza, il cliente ottiene una visione indipendente e complessiva della propria sicurezza rispetto a un certo tipo di attacchi sociotecnici, oltre a una dimostrazione dell'efficacia (o viceversa, dell'inefficacia) della linea di difesa costruita contro le minacce esterne.
Raccomandiamo di effettuare questa formazione almeno due volte all'anno. In primo luogo, in qualsiasi azienda c'è un turnover del personale e le esperienze precedenti vengono lentamente dimenticate dai dipendenti. In secondo luogo, i metodi e le tecniche di attacco cambiano costantemente, il che porta alla necessità di adattare i processi di sicurezza e gli strumenti di protezione.
Se parliamo di misure tecniche di protezione dagli attacchi, le seguenti sono le più utili:
- L'implementazione obbligatoria dell'autenticazione a due fattori sui servizi pubblicati su internet. Lanciare nel 2019 tali servizi senza sistemi di Single Sign On, senza protezione contro le forzature delle password e senza autenticazione a due fattori in un'azienda di diverse centinaia di persone equivale a un invito aperto a «rompimi». Una corretta protezione implementata renderà impossibile l'uso immediato delle password rubate e darà tempo per gestire le conseguenze di un attacco di phishing.
- Il controllo della separazione degli accessi, la minimizzazione dei diritti degli utenti nei sistemi e il rispetto delle linee guida per la configurazione sicura dei prodotti rilasciati da ogni grande produttore. Si tratta spesso di misure semplici nella loro essenza, ma molto efficaci e complicate da attuare, le quali vengono comunque trascurate in nome della velocità operativa. E alcune sono così necessarie che senza di esse nessun strumento di protezione può salvare.
- Una linea di filtraggio della posta elettronica ben costruita. Antispam, controllo totale degli allegati per la presenza di codice dannoso, compreso il test dinamico tramite sandbox. Un attacco ben preparato implica che l'allegato eseguibile non sarà rilevato dai software antivirus. La sandbox, al contrario, testerà tutto su di sé, utilizzando i file proprio come farebbe un essere umano. Di conseguenza, eventuali componenti dannosi saranno rivelati dalle modifiche effettuate all'interno della sandbox.
- Strumenti di protezione contro attacchi mirati. Come già accennato, i classici strumenti antivirus non rileveranno file dannosi durante un attacco ben preparato. I prodotti più avanzati devono monitorare automaticamente l'insieme di eventi che si verificano in rete — sia a livello di singolo host, sia a livello di traffico all'interno della rete. Durante gli attacchi si manifestano catene di eventi molto caratteristiche, che possono essere tracciate e fermate se si dispone di un monitoraggio focalizzato su eventi di questo tipo.
Origine dell'articolo in «Information Security / Информационная безопасность» n. 6, 2019.
Fonte: habr.com
