Logi Infostealerów Zmieniają Krajobraz Naruszeń

Przez lata to e-maile phishingowe i exploity w oprogramowaniu były głównymi punktami wejścia dla atakujących próbujących włamać się do sieci firmowych. To się zmienia. Badacze bezpieczeństwa wskazują teraz na złośliwe oprogramowanie typu infostealer oraz generowane przez nie dzienniki danych uwierzytelniających jako główny czynnik poprzedzający naruszenia w przedsiębiorstwach i ataki ransomware. Zamiast tworzyć przekonujące przynęty phishingowe czy polować na niezałatane luki, grupy przestępcze coraz częściej po prostu kupują lub wymieniają się skradzionymi danymi logowania, które infostealery zebrały już z zainfekowanych urządzeń.

Ta zmiana jest istotna, ponieważ przenosi punkt ciężkości na inne podatności. Nie chodzi już tylko o to, czy firmowa zapora sieciowa lub filtr poczty wychwycił złośliwy link. Chodzi o to, czy osobisty laptop pracownika, domowy komputer kontrahenta lub współdzielone urządzenie gdzieś w łańcuchu dostaw zostało kiedykolwiek zainfekowane złośliwym oprogramowaniem kradnącym dane uwierzytelniające, nawet na miesiące lub lata przed ostatecznym naruszeniem.

Jak Logi Infostealerów Napędzają Naruszenia Danych w Chmurze

Infostealery to kategoria złośliwego oprogramowania zbudowana w jednym celu: po cichu wydobywać nazwy użytkowników, hasła, ciasteczka przeglądarki, tokeny sesyjne i dane autouzupełniania z zainfekowanej maszyny, a następnie wysyłać to wszystko z powrotem do atakującego. Wynik jest zazwyczaj pakowany w coś, co cyberprzestępczy półświatek nazywa "logiem" – zasadniczo jest to pakiet wszystkich danych uwierzytelniających i artefaktów sesji pobranych z jednego zainfekowanego urządzenia.

Logi te są przedmiotem handlu i sprzedaży na przestępczych rynkach, często po niskich cenach, biorąc pod uwagę ich masową produkcję. To, co czyni je tak niebezpiecznymi dla organizacji, to fakt, że często zawierają ważne ciasteczka sesyjne i tokeny uwierzytelniające do usług w chmurze, sieci VPN i portali korporacyjnych. Oznacza to, że atakujący nie musi zgadywać hasła ani nakłaniać kogoś do jego wprowadzenia. Może potencjalnie ponownie wykorzystać aktywną sesję i przejść prosto obok ekranów logowania, a nawet uwierzytelniania wieloskładnikowego, ponieważ sesja była już uwierzytelniona, zanim malware ją przechwyciło.

Po dostaniu się do środka, ten pojedynczy skompromitowany log może stać się początkowym punktem zaczepienia dla znacznie większej intruzji: przemieszczania się bocznego w środowiskach chmurowych, dostępu do dysków współdzielonych i wewnętrznych narzędzi, a ostatecznie do rodzaju ekspozycji danych lub wdrożenia ransomware, o których donoszą nagłówki gazet. Sama infekcja mogła mieć miejsce na urządzeniu osobistym, które nigdy nie miało bezpośredniego kontaktu z siecią firmową, co jest jednym z powodów, dla których tę ścieżkę ataku tak trudno jest przewidzieć zespołom bezpieczeństwa.

Dlaczego Przedsiębiorstwa Mają Trudności z Nadążaniem

Tradycyjne systemy obronne są zbudowane wokół założenia, że największe ryzyko pochodzi z zewnętrznych prób włamania, złośliwych załączników, prób logowania metodą brute-force lub niezałatanych luk w oprogramowaniu. Naruszenia napędzane przez infostealery omijają to wszystko. Kompromitacja często ma swoje źródło daleko poza firmowym perymetrem, na urządzeniu, którego zespół bezpieczeństwa nie widzi, a wynikające z niej dane uwierzytelniające są po prostu kupowane lub pozyskiwane przez drugą grupę przestępców, która przeprowadza właściwe naruszenie.

Ten podział pracy – jedna grupa aktorów specjalizująca się w infekcjach i zbieraniu logów, a druga w monetyzacji dostępu – uczynił gospodarkę cyberprzestępczą bardziej wydajną i trudniejszą do zakłócenia. Oznacza to również, że łatanie znanych luk w oprogramowaniu, choć wciąż niezbędne, rozwiązuje tylko część problemu. Nasze omówienie kampanii infostealerów FortiClient EMS ilustruje, jak atakujący łączą konkretną lukę techniczną ze złośliwym oprogramowaniem kradnącym dane uwierzytelniające, aby zdobyć przyczółek w firmowych systemach zarządzania, pokazując, że taktyki infostealerów i tradycyjne exploity są coraz częściej używane razem, a nie jako oddzielne strategie.

Co To Oznacza Dla Ciebie

Jeśli pracujesz w firmie, która polega na usługach w chmurze – a obecnie robi to prawie każda organizacja – bezpieczeństwo twoich urządzeń osobistych jest bardziej powiązane z ryzykiem twojego pracodawcy, niż mogłoby się wydawać. Pojedyncza infekcja infostealerem na domowym komputerze używanym do sprawdzania służbowej poczty e-mail lub logowania się do firmowego portalu może wygenerować log danych uwierzytelniających, który ostatecznie napędzi znacznie większe naruszenie w przyszłości.

Dla osób indywidualnych wzmacnia to pewne znane, ale coraz pilniejsze nawyki: aktualizowanie urządzeń, unikanie pirackiego oprogramowania i nieoficjalnych plików do pobrania (powszechnych nośników dostarczających infostealery), korzystanie z menedżera haseł zamiast zapisywania haseł w przeglądarce oraz włączanie uwierzytelniania wieloskładnikowego wszędzie tam, gdzie jest oferowane. Żadne z tych działań nie jest srebrną kulą na kradzież tokenów sesyjnych, ale znacząco podnoszą koszt i trudność dla atakujących.

Praktyczne Wnioski

Kilka praktycznych kroków może zmniejszyć twoje narażenie na ryzyko związane z infostealerami:

  • Unikaj pobierania pirackiego oprogramowania, crackowanych gier lub nieoficjalnych rozszerzeń przeglądarki – to powszechne metody dostarczania infostealerów.
  • Używaj dedykowanego menedżera haseł zamiast zapisywania danych uwierzytelniających w przeglądarce, ponieważ dane przechowywane w przeglądarce są głównym celem infostealerów.
  • Włącz uwierzytelnianie wieloskładnikowe na każdym koncie, które je obsługuje, i rozważ opcje odporne na phishing, jeśli są dostępne.
  • Regularnie czyść zapisane sesje przeglądarki i wylogowuj się z wrażliwych kont na współdzielonych lub osobistych urządzeniach używanych do pracy.
  • Jeśli podejrzewasz, że urządzenie może być zainfekowane, zmień hasła z innego, zaufanego urządzenia i monitoruj konta pod kątem nietypowej aktywności.

Wzrost znaczenia logów infostealerów jako preferowanego narzędzia początkowego dostępu w branży cyberprzestępczej przypomina, że zapobieganie naruszeniom coraz częściej zaczyna się daleko poza siecią firmową – na codziennych urządzeniach, których ludzie używają do logowania się z dowolnego miejsca.