Wyobraź sobie taką sytuację. Chłodne październikowe poranki, biuro projektowe w stolicy jednego z regionów Rosji. Ktoś z działu kadr wchodzi na jedną z stron ofert pracy na stronie instytutu, zamieszczoną kilka dni temu, i widzi tam zdjęcie kota. Poranek szybko przestaje być nudny...
W tym artykule Pawel Supruniuk, kierownik techniczny działu audytu i konsultingu w Group-IB, opowiada o tym, jakie miejsce zajmują ataki socjotechniczne w projektach oceny rzeczywistej odporności, jakie nietypowe formy mogą przybierać, a także jak się przed nimi bronić. Autor zaznacza, że artykuł ma charakter przeglądowy, jednak jeśli jakiś aspekt zainteresuje czytelników, eksperci z Group-IB chętnie odpowiedzą na pytania w komentarzach.
Część 1. Dlaczego tak poważnie?
Wracamy do naszego kota. Po pewnym czasie dział kadr usuwa zdjęcie (zrzuty ekranu tutaj i dalej są częściowo zamaskowane, aby nie ujawniać prawdziwych imion), ale ono uporczywie wraca, usuwają je ponownie, i tak dzieje się jeszcze kilka razy. W dziale kadr zdają sobie sprawę, że zamiary kota są bardzo poważne, nie chce odejść, i wzywają na pomoc programistę — osobę, która stworzyła stronę i teraz administruje nią. Programista wchodzi na stronę, ponownie usuwa natrętnego kota, ustala, że został umieszczony z imienia samego działu kadr, następnie stawia przypuszczenie, że hasło działu kadr wyciekło do jakichś internetowych chuliganów, i zmienia je. Kot przestaje się pojawiać.
Co tak naprawdę się wydarzyło? W odniesieniu do grupy firm, do której należał instytut, specjaliści z Group-IB przeprowadzili test penetracyjny w formacie zbliżonym do Red Teaming (mówiąc prościej, to symulacja celowych ataków na Twoją firmę przy użyciu najbardziej zaawansowanych metod i narzędzi z arsenału grup hakerskich). Szczegółowo opisywaliśmy temat Red Teaming. Ważne jest, aby wiedzieć, że podczas przeprowadzania takiego testu można stosować bardzo szeroki zakres ataków z wcześniej ustalonych, w tym inżynierię społeczną. Oczywiście samo umieszczenie kota nie było końcowym celem całego zdarzenia. A celem było:
- strona internetowa instytutu była umieszczona na serwerze w samej sieci instytutu, a nie na zewnętrznych serwerach;
- znaleziono wyciek konta działu kadr (plik dziennika wiadomości w katalogu głównym witryny). Nie można było administrować witryną z tego konta, ale można było edytować strony ofert pracy;
- zmieniając strony, można było umieścić swoje skrypty w języku JavaScript. Zwykle czyni je interaktywnymi, ale w tej sytuacji te same skrypty mogły ukraść z przeglądarki odwiedzającego to, co odróżniało dział kadr od programisty, a programistę od zwykłego odwiedzającego — identyfikator sesji na stronie. Kot był wyzwalaczem ataku i obrazkiem przyciągającym uwagę. W języku znaczników HTML wyglądało to tak: jeśli załadował się obrazek, JavaScript już się wykonał, a twój identyfikator sesji wraz z danymi o twojej przeglądarce i adresie IP został już skradziony.
- Z skradzionym identyfikatorem sesji administratora można by uzyskać pełny dostęp do strony, umieszczać wykonywalne strony w języku PHP, co oznaczałoby dostęp do systemu operacyjnego serwera, a następnie do samej sieci lokalnej, co było ważnym pośrednim celem projektu.
Atak zakończył się częściowym sukcesem — identyfikator sesji administratora został skradziony, ale był powiązany z adresem IP. Nie udało się tego obejść, nie mogliśmy podnieść uprawnień na stronie do administratora, ale poprawiliśmy sobie nastrój. Ostateczny rezultat uzyskaliśmy na innej części perymetru sieciowego.
Część 2. Piszę do was — czegoż więcej? A jeszcze dzwonię i stąpam u was w biurze, zrzucając pendrive'y
To, co wydarzyło się w sytuacji z kotem — to przykład inżynierii społecznej, choć nie do końca klasyczny. W rzeczywistości w tej historii wydarzyło się więcej: był kot, instytut, dział kadr, programista, ale były też e-maile z pytaniami, które rzekomo pisali "kandydaci" do samego działu kadr i osobiście do programisty, aby sprowokować ich do odwiedzenia strony.
Swoją drogą o e-mailach. Zwykły e-mail — prawdopodobnie podstawowy środek transportu dla przeprowadzania inżynierii społecznej — nie traci swojej aktualności od kilku десятков lat i czasami prowadzi do najbardziej niezwykłych konsekwencji.
Następną historię często opowiadamy na naszych wydarzeniach, ponieważ jest bardzo pouczająca.
Zwykle na podstawie wyników projektów z socjotechniką przygotowujemy statystyki, które, jak wiadomo, są rzeczą suchą i nudną. Tyle procent odbiorców otworzyło załącznik z wiadomości, tyle przeszło do linku, a ci troje w ogóle wprowadzili swoje dane logowania i hasło. W jednym z projektów uzyskaliśmy ponad 100% wpisów haseł – czyli wyszło więcej, niż zostało wysłanych.
Zdarzyło się to tak: wysłano phishingowy e-mail, rzekomo od CISO z korporacji państwowej, z prośbą o "pilne przetestowanie zmian w usłudze pocztowej". Wiadomość trafiła do kierownika dużego działu zajmującego się wsparciem technicznym. Kierownik był bardzo staranny w realizacji poleceń od wysokiego przełożonego i przesłał ją wszystkim podwładnym. Sam call center okazał się dość dużym. W sumie sytuacje, w których ktoś przesyła "interesujące" phishingowe wiadomości swoim współpracownikom, a ci również dają się nabrać — to dość powszechne zjawisko. Dla nas to najlepsza informacja zwrotna na temat jakości napisania wiadomości.
Trochę później nas przejrzeli (wiadomość została zdjęta z skompromitowanej skrzynki pocztowej):
Taki sukces ataku był spowodowany tym, że podczas wysyłki wykorzystano szereg technicznych niedociągnięć w systemie pocztowym klienta. Był on skonfigurowany w taki sposób, że można było wysyłać dowolne wiadomości w imieniu dowolnego nadawcy z samej organizacji bez autoryzacji, nawet z internetu. To znaczy, że można było udawać CISO, szefa wsparcia technicznego lub jeszcze kogoś innego. Co więcej, interfejs pocztowy, obserwując wiadomości z „swojej” domeny, starannie podstawiał zdjęcie z książki adresowej, co dodawało naturalności nadawcy.
Prawdę mówiąc, taki atak nie odnosi się do szczególnie skomplikowanych technologii, to udane wykorzystanie całkowicie podstawowego uchybienia w ustawieniach poczty. Jest to regularnie omawiane na odpowiednich zasobach IT i bezpieczeństwa informacji, ale mimo to wciąż zdarzają się firmy, w których to wszystko występuje. Ponieważ nikt nie jest skłonny dokładnie sprawdzać nagłówków służbowych protokołu SMTP, wiadomość zazwyczaj jest sprawdzana pod kątem "zagrożenia" według ostrzegawczych znaczków interfejsu pocztowego, które nie zawsze przedstawiają pełny obraz.
Interesujące jest to, że taka podatność działa w drugą stronę: cyberprzestępca może wysłać wiadomość w imieniu Twojej firmy do zewnętrznego odbiorcy. Na przykład, może sfałszować fakturę na regularną płatność w Twoim imieniu, podając zamiast Twoich danych inne. O ile nie bierzemy pod uwagę kwestii anti-fraud i wypłaty środków, to prawdopodobnie jeden z najprostszych sposobów kradzieży pieniędzy za pomocą inżynierii społecznej.
Oprócz kradzieży haseł poprzez phishing, klasycznym przykładem ataków socjotechnicznych jest wysyłka wykonywalnych załączników. Jeśli te załączniki pokonają wszelkie zabezpieczenia, które zazwyczaj mają nowoczesne firmy, powstaje kanał zdalnego dostępu do komputera ofiary. Aby zademonstrować konsekwencje ataku, uzyskane zdalne sterowanie można rozwijać aż do dostępu do szczególnie ważnych poufnych informacji. Ciekawe jest to, że zdecydowana większość ataków, którymi straszą media, właśnie w ten sposób się zaczyna.
W naszym dziale audytu dla ciekawości zbieramy przybliżone statystyki: jaka jest łączna wartość aktywów firm, do których uzyskaliśmy dostęp na poziomie "Administrator domeny" głównie dzięki phishingowi i wysyłce wykonywalnych załączników? W tym roku osiągnęła ona około 150 miliardów euro.
Jasne jest, że wysyłanie prowokujących e-maili i umieszczanie zdjęć kotów na stronach internetowych to nie jedyne sposoby inżynierii społecznej. W tych przykładach próbowaliśmy pokazać różnorodność form ataku i ich konsekwencji. Oprócz wiadomości, potencjalny atakujący może dzwonić, aby uzyskać potrzebne informacje, zostawiać nośniki (np. pendrive'y) z wykonywalnymi plikami w biurze docelowej firmy, ubiegać się o pracę jako stażysta czy uzyskać fizyczny dostęp do lokalnej sieci pod pretekstem montażu kamer monitoringu. To wszystko, nawiasem mówiąc, to przykłady z naszych pomyślnie zakończonych projektów.
Część 3. Nauka to światło, a niewiedza to ciemność
Pojawia się słuszne pytanie: dobrze, jest inżynieria społeczna, wygląda niebezpiecznie, co z tym wszystkim powinny zrobić firmy? Na pomoc przybywa Kapitan Oczywistość: trzeba się bronić, i to kompleksowo. Część ochrony będzie skierowana na klasyczne środki bezpieczeństwa, takie jak techniczne zabezpieczenia informacji, monitoring, organizacyjno-prawne zabezpieczenie procesów, ale w głównej mierze, naszym zdaniem, powinno być skierowane na bezpośrednią pracę z pracownikami jako najsłabszym ogniwem. W końcu, niezależnie od tego, jak bardzo wzmocnimy technikę, czy napiszemy surowe regulaminy, zawsze znajdzie się użytkownik, który wymyśli nowy sposób, by wszystko zepsuć. Ponadto ani regulaminy, ani technika nie będą nadążały za kreatywnością użytkownika, szczególnie jeśli podsuwa mu pomysły wykwalifikowany przestępca.
W pierwszej kolejności ważne jest, aby przeszkolić użytkowników: wyjaśnić, że nawet w ich codziennej pracy mogą wystąpić sytuacje związane z inżynierią społeczną. Dla naszych klientów często organizujemy z zakresu higieny cyfrowej – wydarzenie uczące podstawowych umiejętności przeciwdziałania atakom w ogóle.
Mogę dodać, że jednym z najlepszych środków ochrony nie będzie wcale zapamiętywanie zasad bezpieczeństwa informacji, ale trochę obiektywna ocena sytuacji:
- Kim jest mój rozmówca?
- Skąd pojawiła się jego propozycja lub prośba (nigdy wcześniej jej nie było, a teraz jest)?
- Co jest nietypowego w tym żądaniu?
Nawet nietypowy krój pisma lub nietypowy styl wypowiedzi nadawcy może uruchomić łańcuch wątpliwości, który powstrzyma atak. Przepisane instrukcje są również potrzebne, ale działają w inny sposób, nie mogąc jednocześnie sprecyzować wszystkich możliwych sytuacji. Na przykład administratorzy bezpieczeństwa informatycznego piszą w nich, że nie można wprowadzać swojego hasła na zewnętrznych zasobach. A co, jeśli hasło prosi 'swoje', 'korporacyjne' zasoby sieciowe? Użytkownik myśli: 'W naszej firmie jest już dwa tuziny serwisów z jedną wspólną kontem, dlaczego nie mogłoby pojawić się jeszcze jedno?' Stąd wypływa jeszcze jedna zasada: dobrze zorganizowany proces pracy ma również bezpośredni wpływ na bezpieczeństwo: jeśli sąsiedni dział może zażądać od Ciebie informacji tylko na piśmie i tylko przez Twojego przełożonego, to 'człowiek od zaufanego partnera firmy' tym bardziej nie będzie mógł o nią poprosić przez telefon — dla Ciebie to będzie absurd. Szczególnie należy być czujnym, jeśli Twój rozmówca wymaga, aby wszystko zrobić natychmiast, lub 'ASAP', jak popularnie pisze się. Nawet w zwykłej pracy taka sytuacja często nie jest zdrowa, a w warunkach możliwych ataków — to wyraźny sygnał. Nie ma czasu na wyjaśnienia, uruchom mój plik!
Zauważamy, że na użytkowników jako legendy dla ataków socjotechnicznych zawsze działają tematy związane z pieniędzmi w różnej formie: obietnice podwyżek, preferencji, prezentów, a także informacje z rzekomo lokalnymi plotkami i intrygami. Innymi słowy, działają banalne 'śmiertelne grzechy': chciwość, zapotrzebowanie na zysk i nadmierna ciekawość.
Dobre szkolenie zawsze powinno obejmować praktykę. Tutaj mogą pomóc specjaliści w zakresie testowania penetracyjnego. Następne pytanie: co i jak będziemy testować? W Group-IB proponujemy następujące podejście — od razu wybrać fokus testowania: albo oceniać gotowość do ataków tylko samych użytkowników, albo sprawdzać bezpieczeństwo firmy jako całości. A testować metodami socjotechnicznymi, imitując rzeczywiste ataki — to znaczy tymi samymi phishingiem, wysyłkami wykonywalnych dokumentów, telefonami i innymi technikami.
W pierwszym przypadku atak jest starannie przygotowywany wspólnie z przedstawicielami zamawiającego, głównie z jego specjalistami IT i bezpieczeństwa informacji. Uzgadniane są legendy, narzędzia i techniki ataku. Zamawiający sam dostarcza grupy fokusowe oraz listy użytkowników do ataku, które obejmują wszystkie potrzebne kontakty. Tworzone są wyjątki w systemach ochrony, ponieważ wiadomości i ładunki wykonawcze muszą dotrzeć do odbiorcy, gdyż w takim projekcie interesuje nas jedynie reakcja ludzi. Opcjonalnie można w ataku umieścić znaczniki, które mogą sugerować użytkownikowi, że to atak — na przykład można popełnić kilka błędów ortograficznych w wiadomościach lub pozostawić nieścisłości w kopii firmowego stylu. Po zakończeniu projektu uzyskuje się tę „suche statystyki”: które grupy fokusowe i w jakim zakresie zareagowały na scenariusze.
W drugim przypadku — atak przeprowadzany jest bez żadnej wiedzy wyjściowej, metodą „czarnej skrzynki”. Samodzielnie zbieramy informacje o firmie, jej pracownikach, perymetrze sieci, formułujemy legendy do ataku, wybieramy metody, szukamy możliwych środków ochrony stosowanych w docelowej firmie, dostosowujemy narzędzia, opracowujemy scenariusze. Nasi specjaliści korzystają zarówno z klasycznych metod wywiadu z otwartych źródeł (OSINT), jak i z produktu własnego rozwoju Group-IB — Threat Intelligence, systemu, który podczas przygotowań do phishingu może pełnić rolę agregatora informacji o firmie przez długi okres, również wykorzystując informacje tajne. Oczywiście, aby atak nie stał się niemiłą niespodzianką, jego szczegóły są również uzgadniane z zamawiającym. Powstaje pełnoprawny test penetracyjny, ale jego podstawą będzie zaawansowana inżynieria społeczna. Logiczną opcją w takim przypadku jest rozwój ataku wewnątrz sieci, aż do uzyskania najwyższych uprawnień w systemach wewnętrznych. Swoją drogą, w ten sam sposób stosujemy ataki socjotechniczne zarówno w , jak i w niektórych testach penetracyjnych. W rezultacie zamawiający otrzyma niezależny kompleksowy wgląd w swoje zabezpieczenia przed określonym rodzajem ataków socjotechnicznych, a także pokaz efektywności (lub przeciwnie, nieefektywności) zbudowanej linii obrony przed zagrożeniami zewnętrznymi.
Zalecamy przeprowadzać takie szkolenia co najmniej dwa razy w roku. Po pierwsze, w każdej firmie występuje rotacja kadrowa, a wcześniejsze doświadczenie stopniowo zanika wśród pracowników. Po drugie, metody i techniki ataków ciągle się zmieniają, co prowadzi do konieczności dostosowywania procesów bezpieczeństwa i środków ochrony.
Jeśli chodzi o techniczne środki ochrony przed atakami, to w największym stopniu pomagają następujące:
- Obowiązkowa dwuetapowa weryfikacja tożsamości w serwisach publikowanych w internecie. Wypuszczenie w 2019 roku takich serwisów bez systemów Single Sign On, bez ochrony przed łamaniem haseł i bez dwuetapowej weryfikacji w firmie liczącej kilka setek pracowników jest równoważne otwartemu zaproszeniu 'zepsuj mnie'. Prawidłowo wdrożona ochrona uniemożliwi szybkie wykorzystanie skradzionych haseł i da czas na usunięcie skutków ataku phishingowego.
- Kontrola dostępu, minimalizacja uprawnień użytkowników w systemach oraz przestrzeganie wytycznych dotyczących bezpiecznych ustawień produktów, które wydaje każdy duży producent. To często proste z założenia, ale bardzo skuteczne i trudne do wdrożenia w praktyce środki, którymi wszyscy w mniejszym lub większym stopniu lekceważą dla szybszego działania. A niektóre są na tyle niezbędne, że bez nich żadne środki ochrony nie pomogą.
- Dobrze skonstruowana linia filtrowania poczty elektronicznej. Antyspam, całkowite skanowanie załączników pod kątem złośliwego kodu, w tym dynamiczne testowanie w piaskownicach. Dobrze przygotowany atak zakłada, że wykonywalny załącznik nie będzie wykrywany przez oprogramowanie antywirusowe. Piaskownica przeciwnie, sprawdzi wszystko na sobie, wykorzystując pliki tak, jak robi to człowiek. W rezultacie możliwa złośliwa zawartość zostanie ujawniona na podstawie wprowadzanych zmian w piaskownicy.
- Środki ochrony przed atakami wymierzonymi. Jak już wspomniano, klasyczne oprogramowanie antywirusowe nie wykryje złośliwych plików podczas dobrze przygotowanego ataku. Najbardziej zaawansowane produkty powinny automatycznie śledzić zestaw zdarzeń zachodzących w sieci — zarówno na poziomie pojedynczego hosta, jak i na poziomie ruchu w sieci. W przypadku ataków występują bardzo charakterystyczne łańcuchy zdarzeń, które można śledzić i zatrzymać, jeśli posiada się skoncentrowany na takich zdarzeniach monitoring.
Oryginał artykułu w czasopiśmie „Information Security/ Informacyjna bezpieczeństwo” #6, 2019.
Źródło: habr.com
