En Phishing-kampanje Som Gjemmer Seg i Klart Lys

En sofistikert phishing-kampanje kjent som VENOMOUS#HELPER har kompromittert mer enn 80 organisasjoner i USA, og det som gjør den særlig urovekkende er ikke verktøyene angriperne bygde, men de de lånte. Kampanjen utnytter legitim programvare for fjernovervåking og -administrasjon (RMM), nærmere bestemt SimpleHelp og ScreenConnect, for å etablere vedvarende fjerntilgang inne i offerets nettverk.

RMM-verktøy er mye brukt av IT-avdelinger og leverandører av administrerte tjenester for å fjerndiagnostisere, oppdatere og administrere endepunkter. Fordi de er klarert av bedriftenes sikkerhetsfiltre, utgjør de et attraktivt transportmiddel for angripere som ønsker å blende inn i normal nettverkstrafikk. VENOMOUS#HELPER utnytter denne tilliten fullt ut.

Angrepskjeden begynner med phishing-e-poster som leder ofrene til kompromitterte bedriftsnettsteder. Bruken av ekte, tidligere legitime domener hjelper kampanjen med å omgå e-postsikkerhetsfiltre og web-omdømmekontroller som ville flagge ukjente eller nylig registrerte nettsteder. Når et offer samhandler med det ondsinnede innholdet, installeres RMM-programvare lydløst, noe som gir angriperne et vedvarende fotfeste som kan overleve omstarter, endepunktskanning og til og med enkelte sikkerhetsverktøydistribusjoner.

Hvordan RMM-programvare Blir et Sikkerhetsproblem

Kjerneproblemet som VENOMOUS#HELPER avdekker, er ikke at SimpleHelp eller ScreenConnect er iboende usikre. Dette er anerkjente produkter som brukes av tusenvis av legitime IT-team hver dag. Problemet er at angripere har funnet ut hvordan de kan våpnisere de samme funksjonene som gjør disse verktøyene nyttige: lettvektsinstallasjon, vedvarende tilkobling og evnen til å forflytte seg på tvers av et nettverk.

Når de er installert, kommuniserer RMM-agenter typisk utgående over standard webporter, som mange brannmurer tillater som standard. Dette betyr at en angriper som kontrollerer en useriøs RMM-økt kan bevege seg sideveis til tilstøtende systemer, eksfiltrere data eller distribuere ytterligere skadelig programvare – alt mens det fremstår som rutinemessig IT-aktivitet på nettverksovervåkingsdashbord.

Bruken av kompromitterte tredjepartsnettsteder som leveringsmekanisme legger til et ekstra lag med vanskeligheter for forsvarere. Tradisjonelle indikatorer på kompromittering – som flagging av ukjente domener eller usignerte kjørbare filer – er mindre effektive når nyttelasten ankommer fra et nettsted som sikkerhetsverktøy allerede har klassifisert som ufarlig.

Hva Dette Betyr for Deg

For enkeltpersoner, særlig de som jobber eksternt eller i hybride miljøer, er denne kampanjen en påminnelse om at programvaren arbeidsgiveren din bruker til å administrere arbeidsenheten din medfører reell risiko hvis den ikke styres på riktig måte. RMM-verktøy kjører typisk med forhøyede rettigheter. Hvis en angriper får kontroll over den kanalen, har de bred tilgang til maskinen din og potensielt filene og legitimasjonsdataene på den.

Dette er ikke grunn til panikk, men det er grunn til å stille spørsmål. Ansatte har en legitim interesse i å vite hvilken fjerntilgangsprogramvare som er installert på enhetene deres, hvem som har mulighet til å starte en økt, og om disse øktene logges og kan revideres. Ansvarlige arbeidsgivere bør kunne svare klart på alle tre spørsmålene.

For organisasjoner illustrerer VENOMOUS#HELPER hvorfor nulltillit-prinsipper er viktige i praksis. En nulltillit-arkitektur antar ikke at trafikk som stammer fra et klarert verktøy eller en kjent IP-adresse automatisk er trygg. Hver økt, hver tilgangsforespørsel og hver sidebevegelse verifiseres. Kombinert med flerfaktorautentisering og nettverkssegmentering begrenser denne tilnærmingen betydelig hva en angriper kan gjøre selv etter at de har fått et innledende fotfeste.

VPN-bruk innenfor et bedriftsnettverk spiller også en rolle her. Krypterte tunneler mellom fjernarbeidere og interne ressurser reduserer eksponeringen av sensitiv trafikk for avlytting, og de skaper et konsistent autentiseringssjekkpunkt som RMM-baserte angripere ville måtte overvinne.

Konkrete Tiltak

Enten du er en individuell ansatt eller ansvarlig for organisasjonssikkerhet, finnes det konkrete tiltak det er verdt å ta som respons på det VENOMOUS#HELPER avslører.

For enkeltpersoner:

  • Spør IT-avdelingen din hvilken RMM-programvare som er installert på arbeidsenhetene dine, og be om en skriftlig policy for hvordan fjernøkter startes og logges.
  • Vær forsiktig med e-poster som leder deg til eksterne nettsteder, selv de som virker kjente eller profesjonelle.
  • Rapporter alt som installerer programvare eller ber om forhøyede tillatelser uten en klar forutgående forespørsel fra deg.

For organisasjoner:

  • Revider alle distribuerte RMM-verktøy og sørg for at kun autoriserte versjoner med kjente konfigurasjoner er til stede på endepunkter.
  • Begrens RMM-programvare fra å kommunisere med servere utenfor din godkjente leverandørinfrastruktur.
  • Implementer programvare-hvitelisting for å forhindre at uautoriserte RMM-agenter kjøres.
  • Behandle phishing-simuleringer som et kontinuerlig program, ikke en engangsøvelse – særlig for ansatte som arbeider med eksterne leverandører.

VENOMOUS#HELPER er en nyttig casestudie i hvordan angripere tilpasser seg det moderne IT-miljøet. I stedet for å bekjempe sikkerhetsverktøy direkte, finner de måter å bruke klarert programvare som dekke. Det beste forsvaret er lagdelt: skeptiske brukere, strenge nettverkspolicyer og sikkerhetsarkitekturer som antar at kompromittering alltid er mulig.