Egy kötelező eszköz láthatatlan csapdává válik

A dél-koreai internetezőknek régóta kötelező speciális biztonsági és banki bővítményeket telepíteniük, már az alapvető online tranzakciókhoz is – ezt a rendszert a pénzügyi tevékenység védelmére hozták létre. Ugyanez a követelmény most egy súlyos, államilag támogatott behatolás belépési pontjává vált. A Dél-koreai Internet- és Biztonsági Ügynökség (KISA) és három másik kormányzati szerv közös figyelmeztetése szerint a támadók egy nulladik napi sebezhetőséget használtak ki az AnySign4PC-ben, egy széles körben kötelezővé tett banki hitelesítő eszközben, hogy csendesen hátsó ajtókat telepítsenek azoknak a számítógépeire, akik egyszerűen csak meglátogattak bizonyos weboldalakat.

Ez egy úgynevezett itatóhely-támadás (watering-hole attack) volt, amelynek során a hackerek törvényes, megbízható oldalakat kompromittálnak, ahelyett, hogy közvetlenül a célpontokra támadnának. Amikor a célpont szokásos online tevékenysége egy mérgezett oldalra vezeti, a rosszindulatú kód elvégzi a többit. Ebben az esetben a figyelmeztetés 15 törvényes hírportált és kórházi weboldalt azonosított, amelyeket feltörtek, és a kártékony kód terjesztésére használtak.

Miért olyan veszélyes a kattintást nem igénylő támadás

Ami ezt a kampányt különösen riasztóvá teszi, az az, amit nem követelt meg: nem volt letöltött csatolmány, adathalász hivatkozás, semmilyen felhasználói hiba. Mivel az AnySign4PC háttérszolgáltatásként volt telepítve rengeteg koreai rendszerre a banki és kormányzati portálok követelményei miatt, elég volt csupán betölteni egy kompromittált hírcikket vagy kórházi időpontfoglaló oldalt, hogy a sebezhetőséget kihasználva a támadók hátsó ajtót telepítsenek a látogató gépére.

Ez a nulladik napi támadás meghatározó jellemzője: a sebezhetőség a szoftver fejlesztői és az azt védők számára ismeretlen volt a kihasználás időpontjában, így nem állt rendelkezésre javítás vagy aláírás-alapú védekezés, ami megakadályozhatta volna. Az itatóhelyes terjesztési módszerrel kombinálva a támadók gyakorlatilag tömeges megfigyelő- és hozzáférési eszközzé alakították azt a szoftvert, amelynek futtatására emberek milliói vannak kötelezve, anélkül, hogy bárkinek is hibáznia kellett volna.

A hírportálok és kórházak célba vétele szintén figyelemre méltó. Ezek pontosan azok a nagy forgalmú, magas bizalmi szintű célpontok, amelyeket a látogatók széles köre – újságírók, egészségügyi dolgozók, betegek – rendszeresen és gyanú nélkül keres fel. A kötelező szoftver és a megbízható célpontok kombinációja ideális feltételeket teremtett a csendes, széles körű kompromittálódáshoz.

Az államilag támogatott, közinfrastruktúrát célzó támadások egyre gyakoribb mintázatot mutatnak

Ez az incidens illeszkedik abba a szélesebb tendenciába, amelyben állami kötődésű szereplők olyan szoftvereket és infrastruktúrákat vesznek célba, amelyekre az átlagpolgárok jogszabály, szokás vagy kényszerűség miatt kénytelenek támaszkodni. A kormányzati és lakossági rendszerek azért válnak vonzó célponttá, mert kompromittálásuk egyszerre nagy tömegeket érinthet. Kenya elnöki weboldalát nemrégiben ransomware-támadás érte, ami miatt a hatóságoknak korlátozniuk kellett a nyilvános hozzáférést – ez egy újabb példa arra, hogy eltökélt támadók kritikus közinfrastruktúrát bénítanak meg, még ha a motivációk és a módszerek el is tértek az AnySign4PC esetétől.

A tanulság mindkét esetben hasonló: amikor a szoftver vagy szolgáltatás kötelezővé vagy elkerülhetetlenné válik az állampolgárok számára, akkor a biztonsága nemzeti üggyé válik, nem csupán egy magáncég problémája. Egyetlen hiba egy széles körben telepített, kormányzati jóváhagyással rendelkező eszközben sokkal gyorsabban válhat országos szintű kitettséggé, mintha ugyanez opcionális, rétegigényt kielégítő szoftverben fordulna elő.

Mit jelent ez Ön számára?

Ha Ön nem Dél-Koreában él, vagy nem használja az AnySign4PC-t, ez a konkrét támadás közvetlenül nem érinti. De az a mintázat, amit képvisel, mindenhol számít, ahol a szoftverek kötelező használata találkozik a mindennapi böngészéssel. Amikor banki, kormányzati vagy egészségügyi szolgáltatásokhoz háttérben futó bővítményt, ágenst vagy hitelesítési eszközt kell telepítenie, az a szoftver a támadási felület részévé válik, függetlenül attól, hogy közvetlenül kapcsolatba lép-e vele.

Kimondottan a dél-koreai felhasználók számára a KISA és partnerügynökségei által kiadott figyelmeztetés a mérvadó forrás a helyreállítási lépések, javítások és a kompromittálódásra utaló jelek tekintetében. Kövessék az AnySign4PC hivatalos frissítéseit, és alkalmazzák azokat, amint elérhetővé válnak, valamint legyenek óvatosak a hír- és egészségügyi oldalakon megjelenő váratlan felszólításokkal vagy szokatlan viselkedéssel a közeljövőben.

Tágabb értelemben ez az incidens emlékeztető, hogy a kötelező biztonsági szoftver nem automatikusan egyenlő az erős biztonsággal. Azok a kormányok, amelyek speciális eszközöket írnak elő pénzügyi vagy adminisztratív hozzáféréshez, felelősséggel tartoznak azért, hogy ezeket az eszközöket alaposan teszteljék és gyorsan javítsák, mivel a felhasználóknak gyakran nincs értelmes választásuk a telepítésüket illetően. A kötelezően előírt digitális eszközökről szóló viták sem korlátozódnak csupán a banki szoftverekre: az olyan erőfeszítések, mint az EU újjáélesztett Chat Control javaslata mutatják, hogy a kötelezővé tett vagy beágyazott technológia miként idézhet elő olyan adatvédelmi és biztonsági kompromisszumokat, amelyek messze túlmutatnak az eredeti szándékon.

Gyakorlati teendők

  • Ha az AnySign4PC-t vagy hasonló kötelező koreai banki szoftvereket használ, ellenőrizze a KISA hivatalos javításait, és haladéktalanul alkalmazza őket.
  • Figyeljen a szokatlan viselkedésre, amikor dél-koreai hír- vagy kórházi weboldalakat keres fel, amíg az érintett 15 oldal teljes körű mentesítését meg nem erősítik.
  • Ismerje fel, hogy a kötelező vagy csomagban telepített biztonsági szoftver ugyanakkora figyelmet érdemel, mint bármely más program, amely hozzáfér a rendszeréhez.
  • Kövesse a hivatalos kormányzati figyelmeztetéseket, ne a nem ellenőrzött jelentéseket, amikor ilyen aktív nulladik napi támadások elhárításához keres útmutatást.
  • Támogassa a szélesebb körű beszélgetéseket a kötelezően előírt szoftverek elszámoltathatóságáról, hiszen a felhasználók gyakran akkor sem mondhatnak le a használatukról, amikor sebezhetőségek merülnek fel.