Zsarolóvírus-támadás egy amerikai pénzintézet ellen

A Check Point Research július 6-i fenyegetettségi jelentése egy józanító bejegyzéssel nyit: a River Bank & Trust, egy amerikai pénzintézet zsarolóvírus-támadás áldozata lett, miután egy illetéktelen szereplő hozzáférést szerzett anyavállalata hálózatához. A közzétételhez kapcsolódó beszámolók szerint a kezdeti hozzáférés június 16. környékén történt, így a támadó heteket töltött a hálózaton belül, mielőtt a zsarolóvírus terhet bevetették volna. Ez a rés a kezdeti behatolás és a végső hatás között visszatérő téma a modern zsarolóvírus-kampányokban, és pontosan ez az a részlet, ami aggasztania kell mindenkit, aki bankol, pénzügyi szolgáltatóknál dolgozik, vagy azok szolgáltatásaira támaszkodik.

Ami ezt az incidenst a bankszektoron túl is különösen fontossá teszi, az a beszámolók szerinti támadási vektor: egy elavult VPN-protokoll. A Check Point közleményéhez kapcsolódó tudósítások zsarolóvírushoz köthető szereplőkre utalnak, akik olyan régi VPN-megvalósításokat használnak ki, amelyeket a szervezetek nem vontak ki a használatból, vagy nem javítottak ki. Ez nem újszerű technika. Az elavult VPN-protokollok régóta könnyű belépési pontot jelentenek a támadók számára, de hogy továbbra is használatban vannak nagy értékű környezetekben, például a pénzügyi szolgáltatásoknál, rávilágít arra, milyen nehéz a nagy szervezeteknek a fenyegetések által megkövetelt ütemben modernizálni a biztonsági infrastruktúrát.

Miért bukkannak fel folyamatosan az elavult VPN-protokollok az adatvédelmi incidensekről szóló jelentésekben?

A VPN-eknek biztonsági ellenőrzésnek, nem pedig kockázati tényezőnek kellene lenniük. De a régebbi VPN-protokollok, amelyek közül néhány megelőzi a modern titkosítási szabványokat és hitelesítési gyakorlatokat, gyakran továbbra is használatban maradnak éles környezetekben, jóval azután, hogy ki kellett volna vezetni őket. A régi rendszerek olyan okokból maradnak a helyükön, amelyeknek semmi közük a biztonsághoz: szállítói szerződések, kompatibilitás régebbi hardverekkel, vagy egyszerűen annak a működési kockázata, hogy lecseréljenek egy rendszert, ami "még mindig működik".

A probléma az, hogy a támadók aktívan keresik ezeket a gyenge pontokat. Egy elavult VPN-protokoll viszonylag észrevétlen utat kínálhat a vállalati hálózatba, különösen, ha hiányoznak a modern védelmi eszközök, mint a többtényezős hitelesítés vagy a kifinomult munkamenet-felügyelet. Amint bent vannak, ahogyan az a River Bank & Trust esetében is történhetett, a támadó heteket tölthet oldalirányú mozgással, jogosultságok kiterjesztésével, és annak meghatározásával, hogy a hálózat mely pontján a legnagyobb a kár, mielőtt bevetné a zsarolóvírust – mindezt úgy, hogy közben nem vált ki riasztást.

Miért maradnak a pénzintézetek kiemelt értékű célpontok?

A bankok és pénzügyi holdingtársaságok rengeteg érzékeny adatot tárolnak: számlaszámok, tranzakciós előzmények, személyes azonosító adatok, és gyakran összekapcsolt hozzáférést biztosítanak tágabb vállalati hálózatokhoz az anya- és leányvállalati kapcsolatokon keresztül. Ezt az összekapcsoltságot érdemes ebben az esetben megjegyezni, mivel a beszámolók szerint a kompromittálódás az anyavállalat hálózatán keresztül történt, nem pedig közvetlenül a River Bank & Trust rendszereiből kiindulva. A zsarolóvírus-üzemeltetők tudják, hogy a pénzintézetekre intenzív szabályozói és reputációs nyomás nehezedik az incidensek gyors megoldására, ami miatt valószínűbb, hogy hamar fizetnek vagy megegyeznek, mintsem hogy a hosszabb leállás kockázatát vállalják.

Ez a minta egy szélesebb körű trendet is tükröz, amelyet a Check Point folyamatos fenyegetettségi jelentései is bemutatnak: a fenyegetést jelentő szereplők egyre inkább az olyan infrastruktúrákat és hozzáférési pontokat veszik célba, amelyekről a szervezetek azt feltételezik, hogy "elég jók", ahelyett, hogy nulladik napi sebezhetőségeket keresnének. A régi VPN-protokollok, a javítatlan távoli hozzáférési eszközök és az elhanyagolt hálózati peremterületek következetesen termékenyebb támadási felületet jelentenek, mint a látványos új exploitok.

Mit jelent ez Önnek?

Ha Ön egy bank vagy pénzintézet ügyfele, ez az incidens emlékeztet arra, hogy az adatai biztonsága nagyban függ azoktól az infrastrukturális döntésektől, amelyek a színfalak mögött születnek, és amelyekbe Önnek nincs betekintése, és nem is befolyásolhatja. Ez nem azt jelenti, hogy tehetetlen. A fiókok figyelése szokatlan tevékenységek után, erős és egyedi jelszavak használata, valamint a többtényezős hitelesítés bekapcsolása mindenhol, ahol a bankja felkínálja, továbbra is a legjobb egyéni védekezési eszközök.

Ha Ön bármilyen szervezetnél informatikai vagy biztonsági területet irányít, különösen olyannál, amely beszállítói kapcsolatokon vagy vállalati struktúrán keresztül kapcsolódik a pénzügyi szolgáltatásokhoz, ez az incidens konkrét érv arra, hogy inkább most, mintsem egy incidens után vizsgálja felül a VPN-infrastruktúrát. A kockázat nem elméleti, és az itt tárgyalt eset idővonala – ahol a kezdeti hozzáférés hetekkel a zsarolóvírus bevetése előtt történt – jól mutatja, mennyi kár halmozódhat fel a kompromittálódás és az észlelés közötti szakadékban.

Az ilyen incidensek szélesebb körű adatvédelmi vonatkozásai is kapcsolódnak ahhoz, ahogyan a szervezetek általánosságban kezelik az érzékeny adatokat. Amint azt egy nemrégiben készült GAO-jelentés az MI-vel kapcsolatos adatvédelmi kockázatokról részletesen bemutatja, a szervezetek által a személyes és pénzügyi adatok feldolgozásához használt rendszerek és eszközök olyan ütemben bővülnek, ami gyakran meghaladja a védelmükre szánt biztonsági kontrollok fejlődési sebességét. A régi VPN-protokollok csupán egy részét képezik annak a sokkal nagyobb mintának, ahol az infrastruktúra lemarad a kockázatok mögött.

Gyakorlati teendők

Magánszemélyek számára: kapcsolják be a többtényezős hitelesítést minden pénzügyi fióknál, rendszeresen kísérjék figyelemmel a számlakivonatokat, és a váratlan számlaértesítéseket tekintsék jelzésnek arra, hogy közvetlenül a pénzintézetüknél ellenőrizzék a tevékenységet a beágyazott hivatkozásokra kattintás helyett.

Szervezetek számára: leltározzák fel és vezessék ki az elavult VPN-protokollokat, érvényesítsék a modern hitelesítési szabványokat minden távoli hozzáférési ponton, és feltételezzék, hogy bármely anya- és leányvállalat közötti hálózati kapcsolat csak annyira biztonságos, mint a leggyengébb láncszeme. Az olyan zsarolóvírus-kampányok, mint ami a River Bank & Trustot érintette, azt mutatják, hogy a belépési pont ritkán egzotikus. Általában az az infrastruktúra, amit mindenki elfelejtett frissíteni.