A Laundry Bear OWAReaper malware-ja túléli az Exchange-újratelepítést

Orosz állami hackerek olyan kártevőt vetnek be, amely túléli a szokásos helyreállítási lépéseket

Egy újonnan dokumentált, OWAReaper nevű kártevő arra kényszeríti a biztonsági csapatokat, hogy újragondolják, mit is jelent valójában „egy incidens utáni takarítás”. Az orosz állami kötődésű, Laundry Bear néven ismert csoport által bevetett OWAReapert az Egyesült Államok és Európa kormányzati szervei, valamint kritikus szektorokban működő szervezetek ellen használták. Ami figyelemre méltóvá teszi, az nem csupán a célpontok köre, hanem az, hogy milyen makacsul ragaszkodik a kompromittált rendszerhez, miután bejutott.

A legtöbb szervezet egy feltételezett kompromittálódásra a hitelesítő adatok cseréjével, súlyosabb esetekben pedig az érintett eszközök törlésével és újratelepítésével reagál. Az OWAReapert kifejezetten arra tervezték, hogy mindkét lépést hatástalanítsa. A kártevőről szóló beszámolók szerint tulajdonosi szintű hozzáférést biztosít a támadóknak az Exchange Server postaládákhoz – ez egy olyan jogosultsági szint, amely a jelszavak megváltoztatása és a gépek teljes újraépítése után is megmarad.

Hogyan éli túl az OWAReaper a védelmi rendszereket?

A hitelesítő adatok cseréje az egyik első dolog, amit egy incidenskezelő csapat a gyanús tevékenység észlelése után végrehajt. Ennek célja, hogy az ellopott felhasználónevek és jelszavak érvénytelenítésével kizárja a támadókat. Az OWAReaper ezt teljesen megkerüli, mivel a hozzáférése nem egy adott hitelesítő adatkészlethez kötődik. Ehelyett a tulajdonosi szintű postaláda-jogosultságokat közvetlenül az Exchange Server környezetbe ágyazza be – ez egy olyan megvetett láb, amely attól függetlenül működik, hogy kinek a jelszavát változtatják meg.

Az újratelepítés – egy eszköz törlése és tiszta operációs rendszer telepítése – általában a legvégső megoldásnak számít a tartós fenyegetések eltávolítására. Elvileg egy tiszta lappal indulás. Az OWAReaper kialakítása kifejezetten számol ezzel a forgatókönyvvel, lehetővé téve, hogy az implantátum hozzáférése túlélje az újraépítést. A védelmi oldal számára ez a legriasztóbb részlet: egy olyan eszköz, amelyet sok szervezet garantált alaphelyzetbe állításnak tekint, már nem garantál semmit, ha ilyen típusú kártevő kerül a képbe.

Ez egy jelentős változást jelent abban, ahogyan az állami támogatású szereplők a perzisztenciát megközelítik. Ahelyett, hogy megtalálható és törölhető kártevőkre vagy visszavonható hitelesítő adatokra támaszkodnának, a Laundry Bear láthatóan magának a levelezőszervernek a jogosultsági struktúráját veszi célba. Ez egy nehezebben megoldható probléma, mivel a szervezeteknek a konfigurációt és a hozzáférési jogokat kell auditálniuk, nem csupán rosszindulatú fájlok után kutatni vagy jelszavakat cserélni.

Miért különösen kitettek a kritikus szektor célpontjai?

A kormányzati szervek és a kritikus infrastruktúra üzemeltetői éppen azért vonzó célpontok az állami támogatású csoportok számára, mert az e-mail rendszereik gyakran tartalmaznak érzékeny kommunikációt, szakpolitikai egyeztetéseket és működési részleteket. Egy olyan implantátum, amely hosszú távú, tulajdonosi szintű postaláda-hozzáférést biztosít, csendes, folyamatos betekintést nyújt a támadóknak ezekbe az információkba, jóval azután is, hogy a kezdeti behatolást egyébként már felszámolhatták volna.

Az orosz kötődésű szereplők infrastruktúrát és vállalati rendszereket célzó tevékenysége nem egyedi eset. Más friss incidensek – köztük az az eset, amikor a Stadler Rail visszautasított egy több millió dolláros váltságdíj-követelést azt követően, hogy támadók Zimbra levelezőszervereket támadtak meg – egy szélesebb trendet mutatnak, amelyben állami kötődésű és bűnözői csoportok több szektorban és országban is a vállalati e-mail infrastruktúrát vizsgálják. A levelezőszerverek – legyen szó Exchange-ről vagy Zimbráról – továbbra is folyamatosan vonzó célpontok, mivel egy szervezet belső kommunikációjának középpontjában állnak, és gyakran további hozzáférések kulcsait rejtik.

Mit jelent ez Önnek?

Ha kormányzati szervnél, kritikus szektorban működő szervezetnél vagy bármely, helyben telepített Exchange Servert futtató vállalatnál dolgozik, az OWAReaper egy emlékeztető arra, hogy a szokásos incidenskezelési forgatókönyvek önmagukban nem biztos, hogy elegendőek. A jelszavak cseréje és a gépek újraépítése továbbra is szükséges lépések, de ezeket nem szabad bizonyítékként kezelni arra nézve, hogy egy behatolást teljes mértékben felszámoltak.

Az IT- és biztonsági csapatok számára ez az Exchange Server postaláda-jogosultságainak közvetlen auditálását jelenti, különös tekintettel azokra a tulajdonosi szintű hozzáférési engedélyekre, amelyeket nem kifejezetten engedélyeztek. A hálózati szegmentáció is fontos: annak korlátozása, hogy egy támadó milyen messzire tud oldalirányban mozogni egy kompromittált levelezőszerverről, csökkenti a károkat akkor is, ha olyan perzisztencia-mechanizmusok vannak jelen, mint az OWAReaper. A levelezési infrastruktúrához való távoli adminisztratív hozzáférés VPN-en keresztül, szigorú hozzáférés-vezérléssel kombinálva leszűkíti azokat az útvonalakat, amelyeken keresztül a támadók egyáltalán megpróbálhatják elérni ezeket a rendszereket.

A hétköznapi alkalmazottak számára a praktikus tanács továbbra is ismerős, de fontos: legyenek óvatosak a váratlan e-mailekkel, azonnal jelentsenek az IT-nek bármi szokatlant, és értsék meg, hogy egy kompromittált postaláda nemcsak a fiók tulajdonosát érintheti, hanem azokat a kollégákat és partnereket is, akik üzeneteket kapnak róla.

Gyakorlati teendők

Az Exchange Servert futtató szervezeteknek – különösen kormányzati vagy kritikus szektorban működő környezetben – a hitelesítő adatok cseréjét és az újratelepítést szükséges, de nem elégséges válaszként kell kezelniük egy feltételezett kompromittálódásra. A biztonsági csapatoknak kifejezetten a postaláda-tulajdonosi jogosultságokat kell auditálniuk, ahelyett, hogy azt feltételeznék, egy tiszta újraépítés megoldja a perzisztenciát. A hálózati szegmentáció és a VPN-en keresztül biztosított adminisztratív hozzáférés korlátozhatja, hogy a támadók milyen messzire jutnak akkor is, ha egy implantátum, mint az OWAReaper, túléli a kezdeti kármentesítést. Végül, ha naprakészen követik, hogy az olyan orosz kötődésű csoportok, mint a Laundry Bear, hogyan fejlesztik taktikájukat, az segít a biztonsági csapatoknak előre felkészülni a hasonló perzisztencia-trükkökre a jövőbeli kampányokban, ahelyett, hogy utólag reagálnának.