Kada alati kojima vjerujete postanu prijetnja
Niz sigurnosnih incidenata koji su ovog tjedna dospjeli na naslovnice dijeli neugodnu nit: kompromitirani sustavi bili su upravo oni kojima su organizacije i pojedinci trebali najviše vjerovati. Google je zakrpao aktivno iskorištavanu zero-click ranjivost u Pixelovim modemima, napadači su okrenuli ScreenConnect platformu za daljinsko upravljanje protiv pružatelja upravljanih usluga, WSO2 identitetna infrastruktura je pod aktivnim iskorištavanjem, a cybernapad je pogodio naftni tanker. Uzeti zajedno, ovi incidenti ilustriraju obrazac o kojem sigurnosni istraživači neprestano upozoravaju: samo je povjerenje postalo napadna površina.
Nijedan od ovih događaja ne postoji izolirano. Modemski čip, alat za daljinsku podršku, identitetna platforma i dio kritične pomorske infrastrukture svi su dizajnirani da budu pouzdani prema zadanim postavkama. Upravo ih to čini privlačnim metama.
Pixelova zero-click ranjivost: nije potreban nijedan klik
Google je izdao zakrpu za zero-click ranjivost u modemskom firmwareu koji se koristi u Pixel uređajima, a otkriveno je da je ranjivost aktivno iskorištavana prije nego što je zakrpa izdana. Zero-click exploit je posebno opasan jer ne zahtijeva nikakvu interakciju žrtve. Nema phishing poveznice za kliknuti, nema zlonamjernog privitka za otvoriti i nema sumnjive aplikacije za instalirati. Ranjivost se može aktivirati jednostavno time što uređaj obrađuje dolazne podatke na razini modema, što znači da vlasnik telefona u biti nema nikakvu priliku izbjeći je oprezom ili svjesnošću.
Zbog toga se ranjivosti na razini modema i basebanda smatraju nekim od najozbiljnijih nedostataka u mobilnoj sigurnosti. One djeluju ispod sloja na kojem većina korisnika, pa čak i većina antivirusnih alata, ima vidljivost. Činjenica da je ova ranjivost iskorištena u divljini prije javnog otkrivanja naglašava koliko su ti niskorazinski bugovi vrijedni sofisticiranim napadačima.
Zloupotreba ScreenConnecta cilja MSP-ove na koje se tvrtke oslanjaju
Napadači također okreću ScreenConnect, široko korišten alat za daljinski pristup i podršku, protiv pružatelja upravljanih usluga koji ga koriste. MSP-ovi zauzimaju jedinstveno osjetljivu poziciju: njima se vjeruje s administrativnim pristupom desecima ili stotinama klijentskih mreža odjednom. Kada je alat za daljinsko upravljanje koji koristi MSP kompromitiran ili zloupotrijebljen, radijus eksplozije proteže se daleko izvan samog pružatelja usluga i u svakog klijenta nizvodno koji se oslanja na taj pristup.
Ova vrsta napada u stilu opskrbnog lanca odjekuje drugim nedavnim incidentima u kojima su napadači iskorištavali odnose povjerenja umjesto da probiju ojačani perimetar. Megalodon napad koji je pogodio tisuće GitHub repozitorija u samo nekoliko sati pokazao je sličan princip: automatizirajte zloupotrebu pouzdane platforme i šteta se brzo umnožava. MSP-ovi i tvrtke koje o njima ovise trebaju pretpostaviti da je svaka pojedinačka točka privilegiranog daljinskog pristupa meta visoke vrijednosti.
WSO2 identitetna infrastruktura suočena s aktivnim iskorištavanjem
Identitetna infrastruktura poput WSO2 nalazi se u središtu načina na koji organizacije provjeravaju kome je dopušten pristup čemu. Kada se taj sloj aktivno iskorištava, posljedice se šire prema van u svaku aplikaciju i uslugu koja se na njega oslanja za autentifikaciju. To odražava širi trend napadača koji idu izravno na sustave identiteta i pristupa umjesto da pokušavaju probiti pojedinačne aplikacije jednu po jednu, strategiju koja je također viđena u nedavnim aktivno iskorištavanim Netlogon ranjivostima koje pogađaju protokole autentifikacije u poduzećima. Jednom kada je identitetna infrastruktura kompromitirana, branitelji često ne mogu vjerovati vlastitim zapisima ni kontrolama pristupa, što oporavak čini znatno težim.
Cybernapad doseže naftni tanker
Izvješće o cybernapadu koji je pogodio naftni tanker podsjetnik je da digitalna kompromitacija više nije ograničena na poslužitelje i softver. Pomorski prijevoz sve više ovisi o umreženoj navigaciji, komunikaciji i operativnim sustavima, a napad na tu infrastrukturu nosi posljedice u fizičkom svijetu koje nadilaze gubitak podataka.
Što to znači za vas
Većina čitatelja neće izravno upravljati naftnim tankerom ni identitetnom platformom, ali temeljna lekcija široko se primjenjuje. Pixelova zero-click ranjivost pogađa svakodnevne korisnike pametnih telefona i snažan je argument za odmah ažuriranje uređaja umjesto odgađanja zakrpa. Ako koristite MSP za IT podršku ili se vaša organizacija oslanja na alat treće strane za daljinski pristup, raspitajte se koje su mjere nadzora i kontrole pristupa na snazi. Povjerenje u opskrbni lanac, bilo u mobilnom modemu, platformi za daljinsku podršku ili preuzimanju softvera, snažno je koliko i najslabija karika u tom lancu, lekcija vidljiva i u JDownloader kompromitaciji opskrbnog lanca koja je zamijenila legitimne instalatere zlonamjernima.
Ključni zaključci za djelovanje
Instalirajte najnovije Pixelovo sigurnosno ažuriranje čim postane dostupno, jer zero-click ranjivost ne zahtijeva nikakvu korisničku pogrešku da bi bila iskorištena. Ako vaša tvrtka koristi ScreenConnect ili sličan alat za daljinsko upravljanje, provjerite sa svojim MSP-om da se zapisi o pristupu pregledavaju i da je višefaktorska autentifikacija obavezna na svim administrativnim računima. Organizacije koje pokreću WSO2 ili sličnu identitetnu infrastrukturu trebaju odmah primijeniti dostupne zakrpe i revidirati zapise autentifikacije na anomalije. A za svakoga u industrijama koje dotiču kritičnu infrastrukturu, ovaj niz incidenata signal je da se planovi odgovora na incidente preispitaju sada, a ne nakon što se napad dogodi.
