CISA potvrđuje da je BlueHammer sada oružje ransomwarea
Agencija za kibersigurnost i infrastrukturnu sigurnost (CISA) potvrdila je u ponedjeljak da su ransomware skupine prešle s ciljanih zero-day napada i sada masovno iskorištavaju BlueHammer, visokoozbiljnu ranjivost za eskalaciju privilegija u programu Microsoft Defender. Taj prijelaz s ciljanog na široko iskorištavanje kritičan je signal za svaku organizaciju koja koristi Windows sustave i znatno povećava hitnost zakrpljivanja i slojevite obrane.
BlueHammer je već privukao pozornost u sigurnosnim krugovima nakon što je zloupotrijebljen u ranijim zero-day napadima. Potvrda da ga napadači koji koriste ransomware sada uključuju u svoj alatni pribor označava novu fazu. Kad ranjivost prijeđe s ciljane špijunaže ili pojedinačnih napada na infrastrukturu ransomware skupina, izloženost dramatično raste, a vrijeme za zaštitu organizacija naglo se smanjuje.
Što eskalacija privilegija znači u napadu ransomwareom
Ranjivosti za eskalaciju privilegija posebno su vrijedne napadačima koji koriste ransomware zbog svog položaja u lancu napada. Početni pristup mreži tek je prvi korak. Kako bi učinkovito proširili ransomware na cijelu organizaciju, napadači obično trebaju povišene ovlasti koje im omogućuju lateralno kretanje, onemogućavanje sigurnosnih alata, pristup sigurnosnim kopijama i, konačno, široku enkripciju ili eksfiltraciju podataka.
Propust u programu Microsoft Defender posebno je značajan jer je Defender duboko integriran u operacijski sustav Windows i izvršava se s visokom razinom povjerenja. Ako napadač može iskoristiti taj odnos povjerenja, mogao bi s ograničenog uporišta eskalirati do šire kontrole nad sustavom bez aktiviranja onakvih upozorenja kakva bi generirao samostalni zlonamjerni softver.
Ova dinamika nije svojstvena samo BlueHammeru. Ransomware skupine rutinski povezuju više ranjivosti, koristeći jednu za ulazak, a drugu za eskalaciju i širenje. Kompromitacija 40.000 poslužitelja putem aktivne ranjivosti cPanela ilustrira koliko brzo napadači prelaze s otkrivanja na masovno iskorištavanje kada ranjivost pruža značajan utjecaj.
Zašto ransomware skupine posebno ciljaju Windows Defender
Gotovo sveprisutna prisutnost Microsoft Defendera na Windows računalima čini ga privlačnom metom za napadače. Organizacije koje se oslanjaju na Defender kao primarni ili jedini sloj zaštite krajnjih točaka posebno su izložene kada se ranjivost u Defenderu iskoristi za napade, jer upravo alat koji bi ih trebao štititi postaje vektor napada.
Ovo nije argument protiv korištenja Defendera. To je argument za obranu u dubinu: načelo da nijedan sigurnosni alat ne smije biti jedino što stoji između napadača i vaših kritičnih sustava. Kad ransomware skupine posebno iskorištavaju ranjivost u vašem sigurnosnom softveru, dodatni, neovisni slojevi zaštite važniji su nego ikad.
Mrežne kontrole jedan su od takvih slojeva. Segmentacija internih mreža, stroga kontrola pristupa i praćenje neuobičajenog lateralnog kretanja mogu usporiti ili zaustaviti širenje ransomwarea čak i nakon početne kompromitacije krajnje točke. Pravilno konfigurirani VPN-ovi u korporativnim mrežama mogu ograničiti izviđanje koje napadači provode u ranoj fazi upada kontrolirajući koji su mrežni putovi izloženi. Nedavno upozorenje FBI-ja o grupi Silent Ransom koja se fizički lažno predstavlja kao IT osoblje podsjetnik je da napadači također istražuju mrežnu arhitekturu i kontrole pristupa kao dio pripremnih radnji prije napada.
Što to znači za vas
Za pojedinačne korisnike Windowsa najvažniji je korak osigurati da je Windows Update ažuran i da su definicije i komponente platforme Microsoft Defendera potpuno ažurirane. Microsoft obično brzo objavljuje zakrpe za ranjivosti ove ozbiljnosti, a njihova pravovremena primjena najučinkovitija je radnja koju možete poduzeti.
Za IT administratore i sigurnosne timove, CISA-ina potvrda poziv je na provjeru jesu li zakrpe za BlueHammer primijenjene na svim krajnjim točkama, uključujući udaljene i hibridne radnike. Organizacije bi također trebale preispitati svoje mogućnosti otkrivanja ponašanja eskalacije privilegija, jer zakrpe rješavaju ranjivost, ali praćenje rješava širi obrazac prijetnje.
Također valja napomenuti da CISA ne dodaje olako propuste u svoj katalog poznatih iskorištenih ranjivosti. Unos tamo podrazumijeva obvezujuću operativnu direktivu za američke savezne agencije i snažan je signal privatnom sektoru da je iskorištavanje aktivno i u tijeku, a ne teoretsko. Dosadašnji uspjesi agencije u označavanju ranjivosti koje već uzrokuju stvarnu štetu učinili su je pouzdanim sustavom ranog upozoravanja. Ta vjerodostojnost također ju je učinila metom: curenje podataka s GitHuba povezano s izvođačem CISA-e ranije ove godine naglasilo je kako se čak i organizacije usmjerene na sigurnost suočavaju s infrastrukturnim rizicima.
Konkretni zaključci za djelovanje
- Zakrpajte odmah. Primijenite sve dostupne Microsoftove sigurnosne nadogradnje, posebno se usredotočite na zakrpe koje se odnose na komponente programa Microsoft Defender.
- Provedite reviziju krajnjih točaka. Provjerite jesu li zakrpe dostavljene udaljenim radnicima, podružnicama i svim uređajima koji su možda propustili automatske cikluse ažuriranja.
- Slojevito branite. Ne oslanjajte se ni na jedan sigurnosni alat kao potpunu strategiju zaštite. Kombinirajte sigurnost krajnjih točaka s mrežnim nadzorom, kontrolama pristupa i bihevioralnom detekcijom.
- Pratite eskalaciju privilegija. Pregledajte zapise za neuobičajene događaje podizanja ovlasti procesa, osobito one koji uključuju procese sigurnosnog softvera.
- Preispitajte segmentaciju mreže. Ako ransomware ipak stekne uporište, snažna segmentacija mreže može ograničiti koliko daleko se proširi prije otkrivanja i zadržavanja.
Prelazak BlueHammera s zero-day alata na stalni alat ransomware skupina obrazac je koji je sigurnosna zajednica već vidjela i ponovit će se s budućim ranjivostima. Izgradnja sigurnosnih praksi koje uzimaju u obzir ovu predvidljivu evoluciju dugotrajnija je od reakcije na svaki pojedinačni propust.
