Infostealer логовете променят ландшафта на пробивите

Години наред фишинг имейлите и софтуерните експлойти бяха основните входни точки за нападатели, целящи проникване в корпоративни мрежи. Това се променя. Изследователите по сигурността вече посочват infostealer зловредния софтуер и генерираните от него логове с идентификационни данни като водещ предшественик на корпоративни пробиви и атаки с ransomware. Вместо да създават убедителни фишинг примамки или да търсят неактуализирани уязвимости, престъпните групи все по-често просто купуват или разменят откраднати идентификационни данни, които infostealer-ите вече са събрали от заразени устройства.

Тази промяна е важна, защото променя къде се намира истинската уязвимост. Вече не става въпрос само дали фирмената защитна стена или имейл филтърът са уловили злонамерена връзка. Става въпрос дали личният лаптоп на служител, домашният компютър на подизпълнител или споделено устройство някъде по веригата на доставки някога е било заразено със зловреден софтуер за кражба на идентификационни данни, дори месеци или години преди самия пробив.

Как infostealer логовете подхранват пробивите в облачните данни

Infostealer-ите са категория зловреден софтуер, създаден с една цел: тихомълком да извлича потребителски имена, пароли, бисквитки на браузъра, токени за сесии и данни за автоматично попълване от заразена машина, след което да изпраща всичко обратно на нападателя. Резултатът обикновено се пакетира в това, което престъпният ъндърграунд нарича „лог“ – по същество пакет от всички идентификационни данни и сесийни артефакти, извлечени от едно заразено устройство.

Тези логове се търгуват и продават на престъпни пазари, често на ниски цени, предвид огромното им количество. Това, което ги прави толкова опасни за организациите, е, че често съдържат валидни сесийни бисквитки и токени за удостоверяване за облачни услуги, VPN-и и корпоративни портали. Това означава, че нападателят не трябва да отгатва парола или да подмамва някого да я въведе. Той потенциално може да използва повторно активна сесия и да премине директно покрай екраните за вход и дори многофакторното удостоверяване, защото сесията вече е била удостоверена, преди зловредният софтуер да я прихване.

Веднъж влязъл вътре, този единствен компрометиран лог може да стане началната опорна точка за много по-мащабно проникване: странично придвижване в облачните среди, достъп до споделени дискове и вътрешни инструменти и в крайна сметка до вида излагане на данни или внедряване на ransomware, който попада в заглавията. Самата инфекция може да се е случила на лично устройство, което никога не е докосвало директно корпоративната мрежа, което е част от причината този път на атака да е толкова труден за предвиждане от екипите по сигурност.

Защо предприятията трудно се справят

Традиционните защити за сигурност са изградени около предположението, че най-големите рискове идват от опити за проникване отвън, злонамерени прикачени файлове, опити за грубо отгатване на пароли или неактуализирани софтуерни уязвимости. Пробивите, задвижвани от infostealer, заобикалят всичко това. Компрометирането често започва далеч извън корпоративния периметър, на устройство, до което екипът по сигурност няма видимост, а получените идентификационни данни просто се купуват или придобиват от втора група престъпници, които извършват реалния пробив.

Това разделение на труда – едни участници, специализирани в заразяване и събиране на логове, а други – в монетизиране на достъпа – направи икономиката на киберпрестъпността по-ефективна и по-трудна за прекъсване. Това също така означава, че коригирането на известни софтуерни уязвимости, макар и все още съществено, адресира само част от проблема. Нашето отразяване на кампанията с infostealer за FortiClient EMS илюстрира как нападателите комбинират специфична техническа уязвимост със зловреден софтуер за кражба на идентификационни данни, за да получат опорна точка в системите за управление на предприятията, показвайки как тактиките с infostealer и традиционните експлойти все по-често се използват заедно, а не като отделни стратегии.

Какво означава това за вас

Ако работите в компания, която разчита на облачни услуги, а това вече важи за почти всяка организация, сигурността на личните ви устройства е по-свързана с риска за работодателя, отколкото може би си мислите. Една-единствена инфекция с infostealer на домашен компютър, използван за проверка на служебната поща или вход в корпоративен портал, може да създаде лог с идентификационни данни, който впоследствие да подхрани много по-голям пробив.

За отделните потребители това затвърждава някои познати, но все по-наложителни навици: поддържане на устройствата актуализирани, избягване на кракнат софтуер и неофициални изтегляния (често срещани средства за доставка на infostealer), използване на мениджър на пароли вместо запазени в браузъра пароли и активиране на многофакторно удостоверяване навсякъде, където се предлага. Нито едно от тези не е сребърен куршум срещу кражбата на сесийни токени, но те значително повишават цената и трудността за нападателите.

Практически изводи

Няколко практически стъпки могат да намалят излагането ви на риск, задвижван от infostealer:

  • Избягвайте изтеглянето на пиратски софтуер, кракнати игри или неофициални разширения за браузър – всички те са често срещани методи за доставка на infostealer.
  • Използвайте специален мениджър на пароли, вместо да запазвате идентификационни данни в браузъра си, тъй като съхранените в браузъра данни са основна цел на infostealer.
  • Активирайте многофакторното удостоверяване за всеки акаунт, който го поддържа, и обмислете устойчиви на фишинг опции, където са налични.
  • Редовно изчиствайте запазените сесии на браузъра и излизайте от чувствителни акаунти на споделени или лични устройства, използвани за работа.
  • Ако подозирате, че дадено устройство може да е заразено, сменете паролите от отделно, надеждно устройство и следете акаунтите за необичайна активност.

Възходът на infostealer логовете като предпочитан инструмент за първоначален достъп в киберпрестъпната индустрия е напомняне, че предотвратяването на пробиви все повече започва далеч извън корпоративната мрежа – на ежедневните устройства, които хората използват, за да влизат отвсякъде.