Proofpoint: Κρατικά Υποστηριζόμενοι Χάκερ Υιοθετούν το Ίδιο Zero-Day Γρήγορα

Τι Αποκάλυψε η Έρευνα υπό την Καθοδήγηση της Proofpoint

Μια κοινή έρευνα από την Proofpoint, την Google Threat Intelligence Group, το Microsoft Threat Intelligence Center και τη Volexity αποκάλυψε κάτι που οι ερευνητές σπάνια βλέπουν να τεκμηριώνεται τόσο καθαρά: αρκετές κρατικά ευθυγραμμισμένες ομάδες χάκερ άρχισαν να χρησιμοποιούν το ίδιο, προηγουμένως άγνωστο, zero-day exploit μέσα σε λίγες ημέρες η μία από την άλλη. Οι τέσσερις οργανισμοί, που μαζί καλύπτουν ένα τεράστιο μερίδιο της παγκόσμιας ορατότητας στον τομέα της threat intelligence, συνένωσαν τα ευρήματά τους για να επιβεβαιώσουν ότι αυτό δεν ήταν σύμπτωση ούτε μια αργή διάχυση δραστηριότητας μιμητών. Ήταν μια σχεδόν ταυτόχρονη υιοθέτηση από ξεχωριστές, άσχετες μεταξύ τους ομάδες που συνδέονται με εθνικά κράτη.

Αυτού του είδους η διασταυρούμενη έρευνα έχει σημασία επειδή καθεμία από αυτές τις εταιρείες συνήθως παρακολουθεί διαφορετικά κομμάτια του τοπίου απειλών: η Proofpoint επικεντρώνεται σε μεγάλο βαθμό σε εισβολές μέσω email και υποδομές phishing, η Google και η Microsoft παρακολουθούν δισεκατομμύρια endpoints και σήματα cloud, και η Volexity ειδικεύεται στην απόκριση περιστατικών για στόχους υψηλής αξίας. Όταν και οι τέσσερις εντοπίζουν ανεξάρτητα το ίδιο exploit να εμφανίζεται σε άσχετες εκστρατείες περίπου την ίδια στιγμή, αυτό αποτελεί ισχυρό σήμα ότι κάτι άλλαξε στον τρόπο με τον οποίο το exploit κατέστη διαθέσιμο σε πολλαπλούς δρώντες ταυτόχρονα, αντί κάθε ομάδα να το ανακαλύψει μόνη της.

Γιατί Πολλοί Κρατικοί Δρώντες Υιοθέτησαν το Exploit Τόσο Γρήγορα

Ιστορικά, ένα πρόσφατα ανακαλυφθέν zero-day τείνει να παραμένει στα χέρια μιας μόνο ομάδας, ή ενός μικρού, αυστηρά ελεγχόμενου κύκλου, για εβδομάδες ή μήνες πριν επέλθει ευρύτερη υιοθέτηση. Αυτή η καθυστέρηση συνήθως συμβαίνει επειδή τα zero-days είναι δαπανηρά στην ανάπτυξη, επικίνδυνα να εκτεθούν μέσω υπερβολικής χρήσης, και πολύτιμα ακριβώς επειδή είναι σπάνια. Το γεγονός ότι αρκετές κρατικά υποστηριζόμενες ομάδες υιοθέτησαν το ίδιο exploit μέσα σε λίγες ημέρες σπάει αυτό το μοτίβο και υποδεικνύει μερικές πιθανές εξηγήσεις: το exploit μπορεί να πουλήθηκε ή να μοιράστηκε μέσω ενός δικτύου μεσιτών που εξυπηρετεί πολλαπλούς πελάτες προσκείμενους σε κυβερνήσεις, να διέρρευσε από έναν κοινόχρηστο αγωγό ανάπτυξης, ή να ανακαλύφθηκε εκ νέου ανεξάρτητα αφού οι πρώτες επιθέσεις έγιναν αρκετά θορυβώδεις ώστε άλλοι εξελιγμένοι δρώντες να τις προσέξουν και να τις αντιστρέψουν.

Οποιοδήποτε από αυτά τα σενάρια είναι αξιοσημείωτο από μόνο του, αλλά μαζί περιγράφουν ένα περιβάλλον απειλών όπου το παράθυρο μεταξύ «υπάρχει ένα κενό ασφαλείας» και «πολλαπλές κυβερνήσεις το εκμεταλλεύονται» συρρικνώνεται. Αυτή η συμπίεση είναι το πραγματικό κύριο θέμα εδώ, όχι απλώς η ύπαρξη ενός ακόμη zero-day. Αντηχεί μια ευρύτερη τάση που η κοινότητα ασφαλείας τεκμηριώνει, μεταξύ άλλων στην κάλυψη των ευπαθειών Siemens ROX II και ενός κύματος CVEs στο Linux που όλα απαιτούσαν ταχεία διαλογή σε πολύ διαφορετικούς τύπους υποδομών.

Ποιος Κινδυνεύει και Ποια Συστήματα Αποτελούν Στόχο

Οι ερευνητές που συμμετείχαν δεν περιέγραψαν δημόσια κάθε οργανισμό που επηρεάστηκε, αλλά η συμμετοχή της Volexity και η ορατότητα κλίμακας επιχείρησης της Google και της Microsoft υποδηλώνουν ότι το exploit μπορεί να φτάσει σε στόχους υψηλής αξίας: κυβερνητικά δίκτυα, μεγάλες επιχειρήσεις και οργανισμούς που βασίζονται σε ευρέως αναπτυγμένες στοίβες λογισμικού. Οι κρατικά ευθυγραμμισμένες ομάδες γενικά δεν «καίνε» ένα πολύτιμο zero-day σε στόχους χαμηλής αξίας, οπότε η χρήση του από πολλαπλούς δρώντες υπονοεί ότι η υποκείμενη ευπάθεια βρίσκεται σε κάτι ευρέως αναπτυγμένο και άξιο του ρίσκου έκθεσης.

Για τους καθημερινούς χρήστες, ο άμεσος κίνδυνος είναι συνήθως έμμεσος. Οι περισσότεροι άνθρωποι δεν είναι ο πρωταρχικός στόχος κατασκοπείας εθνικών κρατών, αλλά το λογισμικό και οι υπηρεσίες που χρησιμοποιούν — πάροχοι email, πλατφόρμες cloud και εργαλεία επιχειρήσεων — συχνά είναι. Όταν ένα zero-day όπως αυτό κυκλοφορεί, οι συνέπειες μπορούν τελικά να αγγίξουν εφοδιαστικές αλυσίδες, παρόχους υπηρεσιών ή οποιονδήποτε τα δεδομένα του διέρχονται από ένα επηρεαζόμενο σύστημα.

Πρακτικά Βήματα για να Μειώσετε την Έκθεση Αμέσως Τώρα

Το να περιμένετε τέλεια πληροφόρηση για ένα zero-day πριν δράσετε είναι μια χαμένη στρατηγική. Η πρακτική απάντηση είναι η ίδια που οι ομάδες ασφαλείας επαναλαμβάνουν εδώ και χρόνια, και παραμένει αποτελεσματική ακριβώς επειδή δεν εξαρτάται από τη γνώση κάθε λεπτομέρειας ενός συγκεκριμένου exploit:

• Εφαρμόστε ενημερώσεις ασφαλείας μόλις οι προμηθευτές τις κυκλοφορήσουν, και δώστε προτεραιότητα σε συστήματα που είναι εκτεθειμένα στο διαδίκτυο ή χειρίζονται ευαίσθητα δεδομένα.
• Παρακολουθείτε στενά τις ειδοποιήσεις προμηθευτών και τις συγκεντρώσεις threat intelligence κατά τη διάρκεια περιόδων όπου επιβεβαιώνεται ενεργή εκμετάλλευση zero-day, παρόμοια με τη γρήγορη ανταπόκριση που απαιτήθηκε για την πρόσφατη ενημέρωση zero-day του Chrome V8.
• Εφαρμόστε πολλαπλά επίπεδα άμυνας αντί να βασίζεστε σε έναν μόνο έλεγχο. Ένα VPN μπορεί να βοηθήσει στην προστασία δεδομένων κατά τη μεταφορά και να μειώσει την έκθεση σε μη αξιόπιστα δίκτυα, αλλά δεν θα σταματήσει ένα exploit που στοχεύει απευθείας μια ευάλωτη εφαρμογή, οπότε θα πρέπει να συνδυάζεται με προστασία endpoint, τμηματοποίηση δικτύου και ισχυρούς ελέγχους πρόσβασης.
• Μείνετε ενημερωμένοι μέσω τακτικών συγκεντρώσεων ασφαλείας, καθώς οι αποκαλύψεις exploits και τα χρονοδιαγράμματα ενημερώσεων κινούνται γρήγορα και συχνά θάβονται στον ειδησεογραφικό κύκλο, όπως φαίνεται σε συνεχή κάλυψη όπως η εβδομαδιαία σύνοψη για το Certighost και άλλες αποκαλύψεις zero-day.

Τι Σημαίνει Αυτό για Εσάς

Οι περισσότεροι αναγνώστες δεν θα στοχοποιηθούν άμεσα από μια κρατικά υποστηριζόμενη ομάδα χάκερ, αλλά το λογισμικό και οι υπηρεσίες από τις οποίες εξαρτώνται όλοι μπορούν ακόμη να βρεθούν στη διασταύρωση των πυρών. Το πραγματικό δίδαγμα από αυτή την έρευνα δεν είναι η ύπαρξη μιας ακόμη ιστορίας για zero-day exploit από κρατικά υποστηριζόμενους χάκερ· είναι το πόσο γρήγορα αυτό το exploit εξαπλώθηκε σε πολλαπλούς, ανεξάρτητους κρατικούς δρώντες. Αυτή η ταχύτητα σημαίνει ότι οι οργανισμοί, και κατ' επέκταση οι χρήστες τους, έχουν λιγότερο χρόνο από ποτέ για να ενημερώσουν προτού μια ευπάθεια γίνει ευρέως οπλοποιημένη. Αντιμετωπίστε κάθε ειδοποίηση κρίσιμης ενημέρωσης με σοβαρότητα και μην υποθέτετε ότι μια καθυστέρηση λίγων ημερών είναι ακίνδυνη.

Βασικά Συμπεράσματα

Η έρευνα υπό την καθοδήγηση της Proofpoint είναι μια υπενθύμιση ότι τα zero-day exploits δεν παραμένουν πλέον αποκλειστικά για πολύ καιρό μόλις εμφανιστούν. Για τα άτομα, αυτό σημαίνει να διατηρούν το λογισμικό ενημερωμένο χωρίς καθυστέρηση, να δίνουν προσοχή στις ειδοποιήσεις ασφαλείας και να χρησιμοποιούν πολυεπίπεδες προστασίες όπως ένα VPN παράλληλα με, όχι αντί για, καλές συνήθειες ενημέρωσης. Για τους οργανισμούς, ενισχύει την αξία της ανταλλαγής threat intelligence μεταξύ προμηθευτών, καθώς ήταν ακριβώς αυτού του είδους η συνεργασία μεταξύ Proofpoint, Google, Microsoft και Volexity που αποκάλυψε αυτό το μοτίβο προτού περάσει απαρατήρητο για περισσότερο. Το να μένετε ενημερωμένοι με τις συγκεντρώσεις ασφαλείας και τις κυκλοφορίες ενημερώσεων παραμένει ο απλούστερος, πιο αποτελεσματικός τρόπος για να αποφύγετε να γίνετε παράπλευρη απώλεια σε μια κυβερνοεπιχείρηση εθνικού κράτους.