Mit talált a Proofpoint vezette kutatás

A Proofpoint, a Google Threat Intelligence Group, a Microsoft Threat Intelligence Center és a Volexity közös vizsgálata valami olyasmit tárt fel, amit a kutatók ritkán látnak ilyen világosan dokumentálva: több államilag támogatott hackercsoport kezdte el használni ugyanazt a korábban ismeretlen zero-day sebezhetőséget napokon belül egymástól. A négy szervezet, amelyek együttesen a globális fenyegetettségi hírszerzési láthatóság hatalmas részét fedik le, összevonta eredményeit, hogy megerősítse: ez nem véletlen volt, és nem is a másoló tevékenység lassú szivárgása. Ez szinte egyidejű átvétel volt egymástól független, különböző nemzetállami kapcsolódású csoportok körében.

Ez a fajta kereszthivatkozott kutatás azért fontos, mert e cégek mindegyike jellemzően a fenyegetettségi környezet más-más szeletét követi nyomon: a Proofpoint elsősorban az e-mail-alapú behatolásra és adathalász infrastruktúrára összpontosít, a Google és a Microsoft több milliárd végpontot és felhőjelzést figyel, a Volexity pedig a nagy értékű célpontok incidenskezelésére specializálódott. Amikor mind a négy függetlenül ugyanazt a sebezhetőséget észleli fel nem kapcsolódó kampányokban nagyjából ugyanabban az időben, az erős jelzés arra, hogy valami megváltozott abban, ahogyan a sebezhetőség egyszerre több szereplő számára elérhetővé vált, nem pedig arról van szó, hogy mindegyik csoport önállóan fedezte fel.

Miért fogadta be olyan gyorsan több állami szereplő a sebezhetőséget

Történelmileg egy frissen felfedezett zero-day általában egyetlen csoport kezében marad, vagy egy szűk, szigorúan ellenőrzött körben, hetekig vagy hónapokig, mielőtt szélesebb körű átvétel történne. Ez a késés általában azért következik be, mert a zero-day sebezhetőségeket drága kifejleszteni, veszélyes túlhasználat révén felfedni, és éppen azért értékesek, mert ritkák. Az, hogy több államilag támogatott csoport napokon belül ugyanazt a sebezhetőséget veszi át, megtöri ezt a mintát, és néhány valószínű magyarázatra mutat: a sebezhetőséget esetleg eladták vagy megosztották egy brókerhálózaton keresztül, amely több kormányzati kapcsolódású ügyfelet szolgál ki, kiszivárgott egy közös fejlesztési folyamatból, vagy önállóan újra felfedezték, miután a korai támadások elég zajossá váltak ahhoz, hogy más kifinomult szereplők is észrevegyék és visszafejtsék.

E forgatókönyvek bármelyike önmagában is figyelemre méltó, de együtt olyan fenyegetettségi környezetet írnak le, amelyben az „létezik egy sebezhetőség” és a „több kormány használja ki” közötti ablak zsugorodik. Ez a szűkülés az igazi főcím itt, nem csupán egy újabb zero-day létezése. Ez visszhangozza azt a szélesebb trendet, amelyet a biztonsági közösség dokumentál, beleértve a Siemens ROX II sebezhetőségekről és a Linux CVE-k hullámáról szóló tudósítást is, amelyek mindegyike gyors triázst igényelt nagyon különböző típusú infrastruktúrákban.

Ki van veszélyben, és mely rendszerek a célpontok

A részt vevő kutatók nem részletezték nyilvánosan az összes érintett szervezetet, de a Volexity részvétele, valamint a Google és a Microsoft vállalati szintű láthatósága arra utal, hogy a sebezhetőség képes elérni nagy értékű célpontokat: kormányzati hálózatokat, nagyvállalatokat és széles körben telepített szoftverstackekre támaszkodó szervezeteket. Az államilag támogatott csoportok általában nem pazarolnak el egy értékes zero-day sebezhetőséget alacsony értékű célpontokra, így annak több szereplő általi használata azt sugallja, hogy a mögöttes sebezhetőség valami széles körben telepített dologban rejlik, amely megéri a felfedés kockázatát.

A hétköznapi felhasználók számára a közvetlen kockázat általában közvetett. A legtöbb ember nem elsődleges célpontja a nemzetállami kémkedésnek, de az általuk használt szoftverek és szolgáltatások – e-mail-szolgáltatók, felhőplatformok és vállalati eszközök – gyakran azok. Amikor egy ilyen zero-day kering, a következmények végül elérhetik az ellátási láncokat, a szolgáltatókat vagy bárkit, akinek adatai egy érintett rendszeren haladnak át.

Gyakorlati lépések a kitettség azonnali csökkentésére

Tökéletes információra várni egy zero-day sebezhetőségről, mielőtt cselekednénk, vesztes stratégia. A gyakorlati válasz ugyanaz, amelyet a biztonsági csapatok évek óta ismételnek, és pontosan azért marad hatékony, mert nem függ egy adott sebezhetőség minden részletének ismeretétől:

  • Alkalmazza a biztonsági javításokat, amint a gyártók kiadják azokat, és helyezze előtérbe az internet felől elérhető vagy érzékeny adatokat kezelő rendszereket.
  • Kövesse szorosan a gyártói tanácsadásokat és a fenyegetettségi hírszerzési összefoglalókat azokban az időszakokban, amikor aktív zero-day kihasználást erősítenek meg, hasonlóan a nemrég szükséges gyors reagáláshoz a Chrome V8 zero-day javítás esetében.
  • Rétegezze a védekezést ahelyett, hogy egyetlen kontrollra támaszkodna. A VPN segíthet megvédeni az átvitel közbeni adatokat és csökkenteni a kitettséget nem megbízható hálózatokon, de nem állítja meg a sebezhető alkalmazást közvetlenül célzó kihasználást, ezért végpontvédelemmel, hálózatszegmentálással és erős hozzáférés-vezérléssel együtt kell alkalmazni.
  • Maradjon tájékozott rendszeres biztonsági összefoglalók révén, mivel a sebezhetőségek közzététele és a javítási ütemtervek gyorsan mozognak, és gyakran eltemetődnek a hírciklusban, ahogyan az a folyamatos tudósításokban is látható, például a heti összefoglaló a Certighostról és más zero-day közzétételekről.

Mit jelent ez Önnek

A legtöbb olvasót nem célpontja közvetlenül egy államilag támogatott hackercsoport, de a szoftverek és szolgáltatások, amelyektől mindenki függ, mégis kereszttűzbe kerülhetnek. E kutatás igazi tanulsága nem egy újabb államilag támogatott hackerek zero-day sebezhetőségéről szóló történet létezése; hanem az, hogy milyen gyorsan terjedt el ez a sebezhetőség több, egymástól független állami szereplő között. Ez a sebesség azt jelenti, hogy a szervezeteknek, és ezáltal a felhasználóiknak, kevesebb idejük van, mint valaha, hogy javítsanak, mielőtt egy sebezhetőség széles körben fegyverré válik. Vegye komolyan minden kritikus javítási értesítést, és ne feltételezze, hogy néhány napos késés ártalmatlan.

Kulcsfontosságú tanulságok

A Proofpoint vezette kutatás emlékeztető arra, hogy a zero-day sebezhetőségek már nem maradnak sokáig kizárólagosak, miután felszínre kerülnek. Az egyének számára ez azt jelenti, hogy késedelem nélkül tartsák naprakészen a szoftvereket, figyeljenek a biztonsági tanácsadásokra, és alkalmazzanak rétegzett védelmet, például VPN-t a jó javítási szokások mellett, nem azok helyett. A szervezetek számára ez megerősíti a gyártók közötti fenyegetettségi hírszerzés megosztásának értékét, mivel éppen a Proofpoint, a Google, a Microsoft és a Volexity közötti ilyen jellegű együttműködés tárta fel ezt a mintát, mielőtt az hosszabb ideig észrevétlen maradt volna. A biztonsági összefoglalók és a javítási kiadások nyomon követése továbbra is a legegyszerűbb és leghatékonyabb módja annak, hogy elkerülje, hogy egy nemzetállami kiberművelet járulékos kárává váljon.