Какво се случи при ransomware атаката срещу Fairlife/Coca-Cola

Пробивът с данни от ransomware атаката срещу Fairlife премина от заплаха в потвърдена реалност. Fairlife, дъщерната компания за млечни продукти на Coca-Cola, беше ударена от атака, която наложи временно спиране на производствените операции в САЩ. Групата за ransomware Anubis пое отговорност, като добави Fairlife към своя сайт за изтичане на данни в тъмната мрежа и заплаши да публикува откраднати файлове, ако не бъде платен откуп.

Coca-Cola потвърди пробива и отказа да плати. Когато крайният срок 27 юли, определен от Anubis, изтече без плащане, групата изпълни заплахата си и публикува приблизително 1 терабайт откраднати данни. Канадските операции и безопасността на продуктите според докладите не бяха засегнати, но спирането на производството в САЩ и мащабът на излагане на данни правят това един от по-забележителните ransomware инциденти, засегнали веригата на доставки на голяма потребителска марка тази година.

Как CitrixBleed 2 позволи на Anubis да заобиколят многофакторното удостоверяване без парола

Това, което отличава този инцидент от рутинен случай на ransomware, предизвикан от фишинг, е входната точка. Атакуващите според сведенията са използвали CitrixBleed 2, уязвимост, засягаща мрежови уреди на Citrix, за да получат достъп без нужда от парола и без да задействат многофакторното удостоверяване (MFA). Това е детайлът, върху който си струва да се замислим: MFA често се третира като почти непробиваема защита, но недостатък в основния уред може да позволи на атакуващите да отвлекат удостоверена сесия и да преминат директно покрай нея.

Това е структурна слабост, а не потребителска грешка. Никой служител не е кликнал на лоша връзка или е използвал повторно слаба парола тук; уязвимостта се намираше в инфраструктура, на която организациите разчитат да осигурява сигурен отдалечен достъп. За по-задълбочен поглед върху това как обикновено се развиват ransomware операциите, след като атакуващите получат опора – от първоначалния достъп до криптирането и изнудването – записът в речника за ransomware разбива механиките, на които групи като Anubis разчитат.

Моделът, при който единична непоправена уязвимост води до масово излагане на данни, не е уникален за Fairlife. Пробивът в Nova Scotia Power изложи приблизително 915 000 клиентски записа, след като единичен компрометиран момент даде отвор на атакуващите. Подобно, пробивът в Oracle HR на Tulane University произтече от уязвимост в HR платформа, а не от целенасочена социално-инженерна кампания. Във всеки от случаите техническата точка на отказ, а не индивидуалните избори на жертвата, определи изхода.

Защо Coca-Cola отказа да плати и какво съдържа изтекът

Решението на Coca-Cola да откаже искането за откуп отразява позиция, която много експерти по сигурността и правоприлагащи органи отдавна насърчават: плащането не гарантира изтриването на данните и може да финансира по-нататъшни престъпни операции. Anubis отговориха, като публикуваха пълния набор от данни от 1 TB след изтичането на крайния срок – ход, съвместим с модела на двойно изнудване, който е станал стандарт сред ransomware групите – първо криптират или открадват данните, след това използват публичното излагане като лост, независимо дали откупът е платен.

Точното съдържание на изтеклия терабайт не е напълно детайлизирано, но самият мащаб сигнализира за значителен риск от излагане за всеки, чиято информация е преминала през системите на Fairlife – независимо дали служители, бизнес партньори или контакти по веригата на доставки. Предприятията, свързани с пробит доставчик, често са изправени пред вторично излагане, дори когато собствените им системи никога не са били докосвани – динамика, наблюдавана и при пробива с OAuth в Klue, където компрометиран механизъм за удостоверяване в една компания даде на атакуващите достъп до данни, принадлежащи на множество организации надолу по веригата.

Какво могат да направят потребителите и екипите по сигурност сега

За екипите по сигурност непосредственият урок е спешността на управлението на поправките. CitrixBleed 2 беше известна, разкрита уязвимост; прозорецът между разкриването и експлоатацията често е единственият шанс да се затвори вратата, преди атакуващите да преминат през нея. Организациите, които използват Citrix уреди, трябва незабавно да потвърдят статуса на поправките, да одитират регистрите на сесиите за аномално поведение при удостоверяване и да третират MFA като един слой на защита, а не като гаранция.

За обикновените потребители пробивът с ransomware данни на Fairlife е напомняне, че провалите на корпоративно ниво стоят до голяма степен извън индивидуалния контрол. VPN, мениджър на пароли или услуга за наблюдение на идентификационни данни няма да спрат атакуващ да експлоатира уязвимост в бекенд инфраструктурата на дадена компания. Това, което тези инструменти предлагат, е ограничаване на щетите: услугите за наблюдение могат да ви предупредят, ако вашата информация се появи при изтичане, уникалните пароли ограничават радиуса на поражението, ако идентификационните данни бъдат изложени, а VPN защитава вашата собствена връзка от несвързани рискове като необезопасени мрежи. Нищо от това не предотвратява пробив като този, но намалява личните последици, ако вашите данни са били част от изложения набор.

Изводът

Пробивът с ransomware данни на Fairlife илюстрира как единичен непоправен недостатък, а не нарушена паролна политика, беше достатъчен, за да заобиколи напълно MFA и да предаде на атакуващите терабайт данни. Отказът на Coca-Cola да плати не предотврати изтичането, което подчертава, че веднъж след като данните са извлечени, изходът до голяма степен е извън контрола на организацията жертва. Ако сте взаимодействали с Fairlife като служител, партньор или контакт, следете услугите за уведомяване за пробиви и третирайте с повишено внимание всякакви неочаквани съобщения, които се позовават на компанията, през следващите седмици.