Когато инструментите, на които се доверявате, се превърнат в заплаха

Поредица от инциденти по сигурността, които са в заглавията тази седмица, споделят една неудобна обща нишка: компрометираните системи бяха тези, на които организациите и хората трябваше да се доверяват най-много. Google коригира активно експлоатирана zero-click уязвимост в модемите на Pixel, атакуващите са обърнали платформата за отдалечено управление ScreenConnect срещу доставчици на управлявани услуги, инфраструктурата за идентичност на WSO2 е под активна експлоатация, а кибератака е ударила петролен танкер. Взети заедно, тези инциденти илюстрират модел, за който изследователите по сигурността непрекъснато предупреждават: самото доверие се превърна в повърхност за атака.

Нито едно от тези събития не съществува изолирано. Модемен чип, инструмент за отдалечена поддръжка, платформа за идентичност и част от критична морска инфраструктура са проектирани да бъдат надеждни по подразбиране. Именно това ги прави привлекателни цели.

Zero-Click уязвимостта в Pixel: не са необходими кликвания

Google издаде кръпка за zero-click уязвимост във фърмуера на модема, използван в устройства Pixel, и беше установено, че уязвимостта е активно експлоатирана, преди поправката да бъде разпространена. Zero-click експлойтът е особено опасен, защото не изисква никакво взаимодействие от страна на жертвата. Няма фишинг връзка за кликване, няма злонамерен прикачен файл за отваряне и няма подозрително приложение за инсталиране. Уязвимостта може да бъде задействана просто чрез обработка на входящи данни на ниво модем, което означава, че собственикът на телефона практически няма възможност да я избегне чрез внимание или информираност.

Ето защо уязвимостите на ниво модем и базова лента се третират като едни от най-сериозните недостатъци в мобилната сигурност. Те работят под слоя, където повечето потребители и дори повечето антивирусни инструменти имат видимост. Фактът, че тази уязвимост е била експлоатирана в реални условия преди публичното разкриване, подчертава колко ценни са тези нискоравнищни бъгове за изтънчените атакуващи.

Злоупотребата със ScreenConnect атакува MSP доставчиците, на които бизнесът разчита

Атакуващите също обръщат ScreenConnect, широко използван инструмент за отдалечен достъп и поддръжка, срещу доставчиците на управлявани услуги, които го използват. MSP доставчиците заемат уникално чувствителна позиция: на тях е поверен административен достъп до десетки или стотици клиентски мрежи наведнъж. Когато инструмент за отдалечено управление, използван от MSP, бъде компрометиран или злоупотребен, радиусът на щетите се простира далеч отвъд самия доставчик и във всеки клиент надолу по веригата, който разчита на този достъп.

Този вид атака от типа на веригата за доставки наподобява други скорошни инциденти, при които атакуващите експлоатираха доверителни отношения, вместо да пробият укрепен периметър. Атаката Megalodon, която удари хиляди GitHub хранилища за броени часове, демонстрира подобен принцип: автоматизирайте злоупотребата с доверена платформа и щетите се натрупват бързо. MSP доставчиците и бизнесът, който зависи от тях, трябва да приемат, че всяка отделна точка за привилегирован отдалечен достъп е цел с висока стойност.

Инфраструктурата за идентичност на WSO2 е изправена пред активна експлоатация

Инфраструктурата за идентичност като WSO2 стои в центъра на това как организациите проверяват кой има право да достъпва какво. Когато този слой бъде активно експлоатиран, последствията се разпространяват навън към всяко приложение и услуга, които разчитат на него за удостоверяване. Това отразява по-широка тенденция атакуващите да атакуват директно системите за идентичност и достъп, вместо да се опитват да пробият отделни приложения едно по едно — стратегия, наблюдавана също в скорошни активно експлоатирани уязвимости в Netlogon, засягащи корпоративните протоколи за удостоверяване. След като инфраструктурата за идентичност бъде компрометирана, защитниците често не могат да се доверят на собствените си логове или контроли за достъп, което прави възстановяването значително по-трудно.

Кибератака достига петролен танкер

Докладът за кибератака, ударила петролен танкер, е напомняне, че цифровият компромис вече не се ограничава до сървъри и софтуер. Морското корабоплаване все повече зависи от свързани навигационни, комуникационни и оперативни системи, а атака срещу тази инфраструктура носи последици във физическия свят, които се простират отвъд загубата на данни.

Какво означава това за вас

Повечето читатели няма да управляват пряко петролен танкер или платформа за идентичност, но основният урок се отнася в широк смисъл. Zero-click уязвимостта в Pixel засяга ежедневните потребители на смартфони и е силен аргумент за незабавно актуализиране на устройствата, вместо отлагане на кръпките. Ако използвате MSP за IT поддръжка или ако вашата организация разчита на инструмент за отдалечен достъп на трета страна, попитайте какви мерки за мониторинг и контрол на достъпа са налице. Доверието във веригата за доставки — било то в мобилен модем, платформа за отдалечена поддръжка или изтегляне на софтуер — е само толкова силно, колкото най-слабото звено в тази верига, урок, видим също в компромиса на веригата за доставки на JDownloader, при който легитимни инсталатори бяха заменени със злонамерени.

Практични изводи

Инсталирайте най-новата актуализация за сигурност на Pixel веднага щом стане налична, тъй като zero-click уязвимостта не изисква потребителска грешка, за да бъде експлоатирана. Ако вашият бизнес използва ScreenConnect или подобен инструмент за отдалечено управление, потвърдете с вашия MSP доставчик, че логовете за достъп се преглеждат и че многофакторното удостоверяване е наложено за всички административни акаунти. Организациите, работещи с WSO2 или подобна инфраструктура за идентичност, трябва незабавно да приложат наличните кръпки и да одитират логовете за удостоверяване за аномалии. А за всички в отрасли, свързани с критична инфраструктура, тази поредица от инциденти е сигнал да преразгледат плановете си за реакция при инциденти сега, а не след като атака се случи.