Задължителен инструмент се превръща в невидим капан

Южнокорейските интернет потребители отдавна са задължени да инсталират специфични приставки за сигурност и банкиране, само за да извършат елементарни онлайн транзакции – система, предназначена да защитава финансовата дейност. Точно това изискване сега се е превърнало в входна точка за сериозно проникване, подкрепено от държава. Според съвместна препоръка от Корейската агенция за интернет и сигурност (KISA) и три други правителствени органа, нападателите са използвали уязвимост от типа „zero-day“ в AnySign4PC – широко разпространен инструмент за банково удостоверяване, инсталиран по изискване, – за да инсталират тихо бекдори на компютрите на всеки, който просто е посетил определени уебсайтове.

Това беше атака тип „watering-hole“ – техника, при която хакерите компрометират легитимни, доверени сайтове, вместо да атакуват целите директно. Когато обичайните онлайн навици на дадена цел я отведат до отровен сайт, зловредният код поема останалото. В случая препоръката идентифицира 15 легитимни новинарски и болнични уебсайта, които са били компрометирани, за да доставят експлойта.

Защо атаката без кликване е толкова опасна

Особено тревожно в тази кампания е това, което тя не изисква: нито изтеглен прикачен файл, нито фишинг линк, нито каквато и да е потребителска грешка. Тъй като AnySign4PC беше инсталиран като фонова услуга на толкова много корейски системи, за да отговори на изискванията за банкиране и правителствени портали, самото зареждане на компрометирана новинарска статия или страница за болничен преглед беше достатъчно, за да задейства експлойта и да пусне бекдор на машината на посетителя.

Това е определящата характеристика на атака с нулев ден: уязвимостта е била неизвестна за разработчиците и защитниците на софтуера по времето, когато е била активно експлоатирана, което означава, че не е имало пач или сигнатурно откриване, които да ѝ попречат. В съчетание с доставката чрез „watering-hole“, нападателите на практика превърнаха софтуер, който милиони хора са принудени да използват, в инструмент за масово наблюдение и достъп, без да се нуждаят от грешка на нито един от тези хора.

Насочването към новинарски и болнични сайтове също е забележително. Това са точно онези дестинации с голям трафик и високо доверие, които широк кръг посетители – включително журналисти, медицински персонал и пациенти – биха посещавали редовно и без подозрение. Тази комбинация от задължителен софтуер и доверени дестинации създаде идеални условия за тихо, широкообхватно компрометиране.

Подкрепяните от държави атаки срещу публична инфраструктура са нарастващ модел

Този инцидент се вписва в по-широка тенденция, при която свързани с държави актьори се насочват към софтуер и инфраструктура, на които обикновените граждани на практика са принудени да разчитат – било по закон, обичай или необходимост. Правителствените и обществените системи са привлекателни цели именно защото компрометирането им може да засегне голям брой хора наведнъж. Президентският уебсайт на Кения наскоро беше ударен от атака с ransomware, която принуди властите да ограничат обществения достъп – още един пример за критична публична инфраструктура, нарушена от решителни нападатели, дори мотивите и методите да се различават от случая с AnySign4PC.

Основният урок и в двата случая е сходен: когато софтуер или услуги станат задължителни или неизбежни за гражданите, сигурността на този софтуер се превръща в въпрос от национално значение, а не просто частен проблем на компанията. Един-единствен недостатък в широко разпространен, подкрепен от правителството инструмент може да прерасне в събитие с национален обхват далеч по-бързо, отколкото уязвимост в незадължителен, нишов софтуер.

Какво означава това за вас

Ако не се намирате в Южна Корея или не използвате AnySign4PC, този конкретен експлойт няма да ви засегне пряко. Но моделът, който той представлява, има значение навсякъде, където софтуерните изисквания се пресичат с ежедневното сърфиране. Всеки път, когато сте задължени да инсталирате фонова приставка, агент или инструмент за удостоверяване, за да получите достъп до банкови, правителствени или здравни услуги, този софтуер става част от вашата повърхност на атаката – независимо дали взаимодействате пряко с него или не.

За потребителите в Южна Корея конкретно, препоръката от KISA и нейните партньорски агенции е авторитетният източник за стъпки за отстраняване, пачове и индикатори за компрометиране. Следете за официални актуализации на AnySign4PC и ги прилагайте веднага щом станат достъпни, и бъдете внимателни за неочаквани подкани или поведение при посещение на новинарски или здравни сайтове в близко бъдеще.

В по-широк план този инцидент е напомняне, че задължителният софтуер за сигурност не е автоматичен синоним на силна сигурност. Правителствата, които изискват специфични инструменти за финансов или административен достъп, носят отговорност да гарантират, че тези инструменти са стриктно тествани и бързо обновявани с пачове, тъй като потребителите често нямат реален избор дали да ги инсталират. Дебатите относно наложените дигитални инструменти не се ограничават само до банковия софтуер; усилия като съживеното предложение за Chat Control в ЕС показват как наложената или вградена технология може да създаде компромиси с личния живот и сигурността, които се разпространяват далеч отвъд първоначалната им цел.

Практически изводи

  • Ако използвате AnySign4PC или подобен задължителен корейски банков софтуер, проверете за официални пачове от KISA и ги приложете незабавно.
  • Бъдете бдителни за необичайно поведение при посещение на новинарски или болнични уебсайтове в Южна Корея, докато засегнатите 15 сайта не бъдат потвърдени като напълно отстранени.
  • Признайте, че задължителният или пакетиран софтуер за сигурност заслужава същото внимание, както всяка друга програма с достъп до вашата система.
  • Следвайте официалните правителствени препоръки, а не непроверени доклади, за насоки за отстраняване на активни експлойти с нулев ден като този.
  • Подкрепяйте по-широки разговори за отчетността на наложен софтуер, тъй като потребителите често не могат да се откажат, дори когато се появят уязвимости.