Mitä Proofpointin johtama tutkimus paljasti

Proofpointin, Google Threat Intelligence Groupin, Microsoft Threat Intelligence Centerin ja Volexityn yhteinen tutkimus on paljastanut jotain, mitä tutkijat harvoin näkevät näin selvästi dokumentoituna: useat valtiosidonnaiset hakkeriryhmät alkoivat käyttää samaa aiemmin tuntematonta nollapäivähaavoittuvuutta muutaman päivän sisällä toisistaan. Nämä neljä organisaatiota, jotka yhdessä kattavat valtavan osuuden maailmanlaajuisesta uhkatiedustelun näkyvyydestä, yhdistivät havaintonsa vahvistaakseen, ettei tämä ollut sattumaa tai hidasta jäljittelijöiden virtaa. Kyse oli lähes samanaikaisesta käyttöönotosta erillisissä, toisiinsa liittymättömissä valtiollisiin toimijoihin yhdistetyissä ryhmissä.

Tällainen ristiinviitattu tutkimus on tärkeää, koska kukin näistä yrityksistä seuraa tyypillisesti eri osia uhkamaisemasta: Proofpoint keskittyy vahvasti sähköpostipohjaiseen tunkeutumiseen ja tietojenkalasteluinfrastruktuuriin, Google ja Microsoft seuraavat miljardeja päätelaitteita ja pilvisignaaleja, ja Volexity on erikoistunut incident response -toimintaan korkean arvon kohteiden osalta. Kun kaikki neljä havaitsevat itsenäisesti saman haavoittuvuuden nousevan esiin toisiinsa liittymättömissä kampanjoissa suunnilleen samaan aikaan, se on vahva signaali siitä, että jokin muuttui siinä, miten haavoittuvuus tuli saataville useille toimijoille yhtä aikaa, sen sijaan että kukin ryhmä olisi löytänyt sen itse.

Miksi useat valtiolliset toimijat omaksuivat haavoittuvuuden niin nopeasti

Historiallisesti vasta löydetty nollapäivähaavoittuvuus pysyy yleensä yhden ryhmän tai pienen, tiukasti valvotun piirin hallussa viikkoja tai kuukausia ennen laajempaa käyttöönottoa. Tämä viive johtuu yleensä siitä, että nollapäivähaavoittuvuudet ovat kalliita kehittää, vaarallisia paljastaa liiallisella käytöllä ja arvokkaita juuri siksi, että ne ovat harvinaisia. Se, että useat valtion tukemat ryhmät omaksuvat saman haavoittuvuuden päivien sisällä, rikkoo tämän kaavan ja viittaa muutamiin todennäköisiin selityksiin: haavoittuvuus on saatettu myydä tai jakaa välittäjäverkoston kautta, joka palvelee useita hallitussidonnaisia asiakkaita, vuotaa yhteisestä kehitysputkesta tai löytää itsenäisesti uudelleen, kun varhaiset hyökkäykset tulivat tarpeeksi äänekkäiksi, jotta muut kehittyneet toimijat huomasivat ne ja tekivät takaisinmallinnuksen.

Mikä tahansa näistä skenaarioista on itsessään merkittävä, mutta yhdessä ne kuvaavat uhkaympäristöä, jossa ikkuna "haavoittuvuus on olemassa" ja "useat hallitukset hyödyntävät sitä" välillä kutistuu. Tämä kutistuminen on todellinen pääuutinen, ei pelkästään uuden nollapäivähaavoittuvuuden olemassaolo. Se heijastaa laajempaa trendiä, jota tietoturvayhteisö on dokumentoinut, mukaan lukien katsauksessa Siemensin ROX II -haavoittuvuuksista ja Linux-CVE-haavoittuvuuksien aallosta, jotka kaikki vaativat nopeaa arviointia hyvin erityyppisissä infrastruktuureissa.

Ketkä ovat vaarassa ja mitkä järjestelmät ovat kohteina

Tutkimukseen osallistuneet eivät julkisesti eritelleet kaikkia vaikutuksen alaisia organisaatioita, mutta Volexityn osallistuminen ja Googlen sekä Microsoftin yritystason näkyvyys viittaavat siihen, että haavoittuvuus pystyy tavoittamaan korkean arvon kohteita: hallitusten verkkoja, suuria yrityksiä ja organisaatioita, jotka nojaavat laajalti käyttöön otettuihin ohjelmistopinoihin. Valtiosidonnaiset ryhmät eivät yleensä polta arvokasta nollapäivähaavoittuvuutta matalan arvon kohteisiin, joten sen käyttö useiden toimijoiden keskuudessa viittaa siihen, että taustalla oleva haavoittuvuus sijaitsee jossakin laajalti käyttöönotetussa ja paljastumisriskin arvoisessa kohteessa.

Arkikäyttäjille välitön riski on yleensä epäsuora. Useimmat ihmiset eivät ole valtiollisen vakoilun ensisijainen kohde, mutta heidän käyttämänsä ohjelmistot ja palvelut, sähköpostipalveluntarjoajat, pilvialustat ja yritystyökalut, usein ovat. Kun tällainen nollapäivähaavoittuvuus leviää, seuraukset voivat lopulta koskettaa toimitusketjuja, palveluntarjoajia tai ketä tahansa, jonka tiedot kulkevat vaikutuksen alaisen järjestelmän kautta.

Käytännön toimenpiteet altistumisen vähentämiseksi heti

Täydellisen tiedon odottaminen nollapäivähaavoittuvuudesta ennen toimintaa on häviöstrategia. Käytännön vastaus on sama, jota tietoturvatiimit ovat toistaneet vuosia, ja se pysyy tehokkaana juuri siksi, ettei se riipu tietyn haavoittuvuuden jokaisen yksityiskohdan tuntemisesta:

  • Asenna tietoturvapäivitykset heti, kun toimittajat julkaisevat ne, ja aseta etusijalle järjestelmät, jotka ovat internetiin yhteydessä tai käsittelevät arkaluontoisia tietoja.
  • Seuraa toimittajien tiedotteita ja uhkatiedustelukatsauksia tiiviisti aikana, jolloin aktiivinen nollapäivähaavoittuvuuden hyödyntäminen on vahvistettu, samoin kuin äskettäisen Chrome V8 -nollapäiväpäivityksen vaatima nopea reagointi.
  • Kerrosta puolustukset sen sijaan, että nojaisit yhteen hallintakeinoon. VPN voi auttaa suojaamaan tietoja siirron aikana ja vähentää altistumista epäluotetuissa verkoissa, mutta se ei pysäytä haavoittuvaan sovellukseen kohdistuvaa hyökkäystä suoraan, joten se tulisi yhdistää päätelaitesuojaukseen, verkon segmentointiin ja vahvoihin käyttöoikeushallintoihin.
  • Pysy ajan tasalla säännöllisten tietoturvakatsausten kautta, sillä haavoittuvuuksien paljastukset ja päivitysaikataulut etenevät nopeasti ja jäävät usein uutissyklin jalkoihin, kuten käy ilmi jatkuvasta seurannasta, kuten viikoittainen katsaus Certighostista ja muista nollapäiväpaljastuksista.

Mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät ole valtion tukeman hakkeriryhmän suoria kohteita, mutta ohjelmistot ja palvelut, joista kaikki ovat riippuvaisia, voivat silti joutua ristituleen. Tämän tutkimuksen todellinen opetus ei ole yhden uuden valtion tukemien hakkereiden nollapäivähaavoittuvuustarinan olemassaolo; vaan se, kuinka nopeasti tämä haavoittuvuus levisi useiden itsenäisten valtiollisten toimijoiden keskuuteen. Tämä nopeus tarkoittaa, että organisaatioilla ja sitä kautta niiden käyttäjillä on vähemmän aikaa kuin koskaan paikata ennen kuin haavoittuvuudesta tulee laajalti aseistettu. Suhtaudu jokaiseen kriittiseen päivitysilmoitukseen vakavasti äläkä oleta, että muutaman päivän viivästys on vaaratonta.

Keskeiset huomiot

Proofpointin johtama tutkimus muistuttaa, etteivät nollapäivähaavoittuvuudet pysy enää kauan yksinoikeudella, kun ne tulevat ilmi. Yksityishenkilöille tämä tarkoittaa ohjelmistojen pitämistä ajan tasalla viivyttelemättä, tietoturvatiedotteiden seuraamista ja kerrostettujen suojausten, kuten VPN:n, käyttämistä hyvien päivitystapojen rinnalla, ei niiden sijaan. Organisaatioille se vahvistaa uhkatiedustelun jakamisen arvon toimittajien kesken, sillä juuri sellainen yhteistyö Proofpointin, Googlen, Microsoftin ja Volexityn välillä paljasti tämän kaavan ennen kuin se jäi pidemmäksi aikaa huomaamatta. Tietoturvakatsausten ja päivitysjulkaisujen seuraaminen ajantasaisesti on edelleen yksinkertaisin ja tehokkain tapa välttää joutumasta sivulliseksi uhriksi valtiollisessa kyberoperaatiossa.