Russiske statshackere anvender malware, der overlever almindelige gendannelsestrin
En nyligt dokumenteret malwaretype kaldet OWAReaper tvinger sikkerhedsteams til at genoverveje, hvad "oprydning efter et indbrud" egentlig betyder. Den er sat i værk af en russisk statstilknyttet gruppe kendt som Laundry Bear, og OWAReaper er blevet brugt mod statslige myndigheder i USA og Europa samt organisationer i kritiske sektorer. Det bemærkelsesværdige er ikke kun, hvem den rammer, men hvor stædigt den klamrer sig til et kompromitteret system, når først den er inde.
De fleste organisationer reagerer på et formodet kompromis ved at rotere adgangskoder og i alvorlige tilfælde slette og geninstallere (re-image) berørte enheder. OWAReaper er specifikt konstrueret til at sætte begge disse tiltag ud af spil. Ifølge rapporteringen om malwaren giver den angribere ejerniveau-adgang til Exchange Server-postkasser – et tilladelsesniveau, der består, selv efter at adgangskoder er ændret, og maskiner er genetableret fra bunden.
Hvordan OWAReaper overlever dine sikkerhedsforsvar
Rotation af adgangskoder er noget af det første, et incident response-team foretager sig, når det opdager mistænkelig aktivitet. Formålet er at låse angribere ude ved at gøre eventuelle stjålne brugernavne og adgangskoder ugyldige. OWAReaper omgår dette fuldstændigt, fordi dens adgang ikke er knyttet til et bestemt sæt legitimationsoplysninger. I stedet indlejrer den postkassetilladelser på ejerniveau direkte i Exchange Server-miljøet – et fodfæste, der forbliver aktivt, uanset hvis adgangskode der bliver ændret.
Geninstallation (re-imaging) – processen med at slette en enhed og installere et rent operativsystem – opfattes typisk som den ultimative løsning til at fjerne vedvarende trusler. Det skal være en frisk start. OWAReapers design tager specifikt højde for dette scenarie og lader implantatets adgang overleve genopbygningen. For forsvarere er dette den mest foruroligende detalje: et værktøj, som mange organisationer betragter som en garanteret nulstilling, garanterer ikke længere noget, når denne type malware er involveret.
Dette er et markant skift i, hvordan statssponsorerede aktører griber persistens an. I stedet for at basere sig på malware, der kan findes og slettes, eller legitimationsoplysninger, der kan tilbagekaldes, ser Laundry Bear ud til at angribe selve rettighedsstrukturen på mailserveren. Det er et sværere problem at løse, fordi det kræver, at organisationer reviderer konfiguration og adgangsrettigheder – ikke bare scanner for skadelige filer eller nulstiller adgangskoder.
Hvorfor mål i kritiske sektorer er særligt udsatte
Statslige myndigheder og operatører af kritisk infrastruktur er attraktive mål for statssponsorerede grupper, netop fordi deres e-mailsystemer ofte indeholder følsom kommunikation, politiske drøftelser og operationelle detaljer. Et implantat, der giver langvarig postkasseadgang på ejerniveau, giver angribere et stille, vedvarende vindue til disse informationer længe efter, at den oprindelige indtrængen ellers kunne være blevet inddæmmet.
Dette mønster, hvor russisk-tilknyttede aktører angriber infrastruktur og virksomhedssystemer, står ikke alene. Andre nylige hændelser – herunder sagen, hvor Stadler Rail afviste et løsesumskrav på flere millioner dollars, efter at angribere havde ramt Zimbra-mailservere – viser en bredere tendens, hvor statstilknyttede og kriminelle grupper afsøger virksomheders e-mailinfrastruktur på tværs af flere sektorer og lande. Mailservere, hvad enten det er Exchange eller Zimbra, forbliver et vedvarende attraktivt mål, fordi de sidder midt i organisationens interne kommunikation og ofte rummer nøglerne til yderligere adgang.
Hvad dette betyder for dig
Arbejder du i en statslig myndighed, en kritisk sektor-organisation eller en virksomhed, der driver Exchange Server on-premises, er OWAReaper en påmindelse om, at standardiserede incident response-playbooks måske ikke er tilstrækkelige i sig selv. Rotation af adgangskoder og genopbygning af maskiner er stadig nødvendige skridt, men de bør ikke behandles som bevis på, at en indtrængen er fuldstændigt afhjulpet.
For it- og sikkerhedsteams betyder det, at man direkte reviderer postkassetilladelser på Exchange Server og specifikt leder efter tildelinger på ejerniveau, der ikke eksplicit er godkendt. Netværkssegmentering er også vigtig her: At begrænse, hvor langt en angriber kan bevæge sig sideværts fra en kompromitteret mailserver, mindsker skaden, selv hvis persistensmekanismer som OWAReaper er til stede. Brug af VPN til fjernadministration af mailinfrastruktur kombineret med streng adgangskontrol indsnævrer de veje, der er tilgængelige for angribere, som i første omgang forsøger at nå disse systemer.
For almindelige medarbejdere forbliver de praktiske råd velkendte, men vigtige: Vær forsigtig med uventede e-mails, rapporter alt usædvanligt til it-afdelingen med det samme, og forstå, at en kompromitteret postkasse kan påvirke kolleger og samarbejdspartnere, der modtager beskeder fra den – ikke kun kontoholderen selv.
Handlingsorienterede anbefalinger
Organisationer, der driver Exchange Server, især i statslige eller kritiske sektor-miljøer, bør betragte rotation af adgangskoder og geninstallation som nødvendige, men utilstrækkelige svar på et formodet kompromis. Sikkerhedsteams bør specifikt revidere postkasse-ejerrettigheder i stedet for at antage, at en ren genopbygning fjerner persistens. Netværkssegmentering og VPN-sikret administrativ adgang kan begrænse, hvor langt angribere bevæger sig, selv når et implantat som OWAReaper overlever den indledende udbedring. Endelig hjælper det sikkerhedsteams med at forudse lignende persistens-tricks i fremtidige kampagner – frem for at reagere baglæns – hvis de holder sig orienteret om, hvordan russisk-tilknyttede grupper som Laundry Bear udvikler deres taktikker.
