Ruští státní hackeři nasazují malware, který přežije standardní postupy obnovy

Nově zdokumentovaný malware jménem OWAReaper nutí bezpečnostní týmy přehodnotit, co vlastně znamená „úklid po útoku“. Nasazuje ho ruská skupina napojená na stát známá jako Laundry Bear, a byl použit proti vládním agenturám ve Spojených státech a v Evropě i organizacím v kritických sektorech. Pozoruhodný není jen tím, na koho cílí, ale zejména tím, jak houževnatě se drží napadeného systému, jakmile se do něj dostane.

Většina organizací reaguje na podezření na kompromitaci rotací přihlašovacích údajů a v závažných případech vymazáním a přeinstalací napadených zařízení. OWAReaper je navržen speciálně tak, aby oba tyto kroky překazil. Podle zpráv o tomto malwaru uděluje útočníkům přístup k poštovním schránkám Exchange Server na úrovni vlastníka, což je oprávnění, které přetrvává i po změně hesel a kompletní přeinstalaci systémů.

Jak OWAReaper přežije vaši obranu

Rotace přihlašovacích údajů je jedna z prvních věcí, kterou tým pro reakci na incidenty provede po odhalení podezřelé aktivity. Má za cíl vyřadit útočníky z provozu tím, že zneplatní jakákoli ukradená uživatelská jména a hesla. OWAReaper se tomu zcela vyhýbá, protože jeho přístup není vázán na konkrétní sadu přihlašovacích údajů. Místo toho vkládá oprávnění vlastníka poštovní schránky přímo do prostředí Exchange Serveru – záchytný bod, který funguje bez ohledu na to, čí heslo se změní.

Přeinstalace, tedy proces vymazání zařízení a nové instalace čistého operačního systému, je obvykle považována za krajní řešení pro odstranění přetrvávajících hrozeb. Má představovat nový začátek. Konstrukce OWAReaperu s touto situací výslovně počítá a umožňuje přístupu implantátu přežít obnovu. Pro obránce je to nejvíce alarmující detail: nástroj, který mnoho organizací považuje za zaručený reset, už nic nezaručuje, jakmile je tento malware ve hře.

To je významný posun v tom, jak státem sponzorovaní aktéři přistupují k trvalé přítomnosti. Namísto spoléhání na malware, který lze najít a odstranit, nebo na přihlašovací údaje, které lze zrušit, Laundry Bear zřejmě cílí přímo na strukturu oprávnění poštovního serveru. To je obtížněji řešitelný problém, protože vyžaduje, aby organizace prověřily konfiguraci a přístupová práva, nejen aby skenovaly škodlivé soubory nebo resetovaly hesla.

Proč jsou cíle v kritických sektorech obzvláště zranitelné

Vládní agentury a provozovatelé kritické infrastruktury jsou pro státem sponzorované skupiny atraktivními cíli právě proto, že jejich e-mailové systémy často obsahují citlivou komunikaci, diskuse o politikách a provozní detaily. Implantát, který poskytuje dlouhodobý přístup k poštovním schránkám na úrovni vlastníka, dává útočníkům tichý a trvalý přehled o těchto informacích ještě dlouho poté, co by jinak byl prvotní průnik zastaven.

Tento vzorec, kdy se na infrastrukturu a podnikové systémy zaměřují aktéři spojení s Ruskem, není ojedinělý. Další nedávné incidenty, včetně případu, kdy Stadler Rail odmítl zaplatit několikanásobné výkupné poté, co útočníci napadli poštovní servery Zimbra, ukazují širší trend, kdy státem spřízněné a zločinecké skupiny zkoumají podnikovou e-mailovou infrastrukturu napříč různými sektory a zeměmi. Poštovní servery, ať už Exchange nebo Zimbra, zůstávají trvale atraktivním cílem, protože stojí v centru interní komunikace organizace a často drží klíče k dalšímu přístupu.

Co to znamená pro vás

Pokud pracujete ve vládní agentuře, organizaci v kritickém sektoru nebo v jakémkoli podniku provozujícím lokální Exchange Server, je OWAReaper připomínkou, že standardní scénáře reakce na incidenty nemusí samy o sobě stačit. Změna hesel a přeinstalace počítačů jsou stále nezbytné kroky, ale neměly by být považovány za důkaz, že byl průnik zcela vyřešen.

Pro IT a bezpečnostní týmy to znamená přímo prověřovat oprávnění poštovních schránek na Exchange Serveru a hledat zejména oprávnění na úrovni vlastníka, která nebyla výslovně schválena. Důležitá je zde také segmentace sítě: omezení možnosti útočníka pohybovat se laterálně z napadeného poštovního serveru snižuje škody, i když jsou přítomny mechanismy perzistence jako OWAReaper. Používání VPN pro vzdálený administrativní přístup k poštovní infrastruktuře ve spojení s přísnými kontrolami přístupu zužuje cesty, které má útočník k dispozici, když se na tyto systémy vůbec snaží dostat.

Pro běžné zaměstnance zůstávají praktické rady známé, ale důležité: buďte opatrní u neočekávaných e-mailů, cokoli neobvyklého okamžitě nahlaste IT oddělení a uvědomte si, že kompromitovaná schránka může ovlivnit kolegy a partnery, kteří z ní dostávají zprávy, nejen samotného držitele účtu.

Konkrétní doporučení

Organizace provozující Exchange Server, zejména ve státní správě a v kritických sektorech, by měly považovat rotaci přihlašovacích údajů a přeinstalaci za nezbytné, ale nedostatečné reakce na podezření na kompromitaci. Bezpečnostní týmy by měly cíleně prověřovat oprávnění vlastníků poštovních schránek, místo aby předpokládaly, že čistá přeinstalace vyřeší perzistenci. Segmentace sítě a administrativní přístup zabezpečený pomocí VPN mohou omezit, jak daleko se útočníci dostanou, i když implantát jako OWAReaper přežije prvotní nápravu. A konečně, sledování toho, jak ruské skupiny jako Laundry Bear vyvíjejí své taktiky, pomáhá bezpečnostním týmům předvídat podobné triky pro zajištění perzistence v budoucích kampaních, místo aby reagovaly až dodatečně.