Rosyjscy hakerzy państwowi wdrażają złośliwe oprogramowanie, które przetrwa standardowe działania naprawcze

Nowo udokumentowane złośliwe oprogramowanie o nazwie OWAReaper zmusza zespoły bezpieczeństwa do ponownego przemyślenia, co naprawdę oznacza „posprzątanie po naruszeniu”. Wykorzystywane przez powiązaną z rosyjskim rządem grupę o nazwie Laundry Bear, OWAReaper zostało użyte przeciwko agencjom rządowym w Stanach Zjednoczonych i Europie oraz organizacjom z sektorów krytycznych. To, co czyni je godnym uwagi, to nie tylko to, kogo atakuje, ale jak uparcie trzyma się zaatakowanego systemu, gdy już się w nim znajdzie.

Większość organizacji reaguje na podejrzenie naruszenia, zmieniając dane uwierzytelniające, a w poważniejszych przypadkach – czyszcząc i ponownie obrazując zainfekowane urządzenia. OWAReaper zaprojektowano tak, by pokonać oba te kroki. Zgodnie z doniesieniami na temat tego złośliwego oprogramowania, przyznaje ono atakującym dostęp do skrzynek Exchange Server na poziomie właściciela – poziom uprawnień, który utrzymuje się nawet po zmianie haseł i odbudowie maszyn od zera.

Jak OWAReaper przetrwa Twoje zabezpieczenia

Rotacja danych uwierzytelniających to jedna z pierwszych czynności, jakie podejmuje zespół reagowania na incydenty po wykryciu podejrzanej aktywności. Ma ona zablokować atakujących poprzez unieważnienie skradzionych nazw użytkowników i haseł. OWAReaper całkowicie omija ten mechanizm, ponieważ jego dostęp nie jest powiązany z konkretnym zestawem danych uwierzytelniających. Zamiast tego osadza uprawnienia właściciela skrzynki bezpośrednio w środowisku Exchange Server – przyczółek, który działa niezależnie od tego, czyje hasło zostanie zmienione.

Ponowne obrazowanie, czyli proces czyszczenia urządzenia i instalowania czystego systemu operacyjnego, jest zwykle uważane za opcję nuklearną służącą do usuwania trwałych zagrożeń. Ma to być zupełnie nowy start. Projekt OWAReaper celowo uwzględnia ten scenariusz, pozwalając implantowi przetrwać odbudowę. Dla obrońców to najbardziej niepokojący szczegół: narzędzie, które wiele organizacji traktuje jako gwarantowany reset, przestaje cokolwiek gwarantować, gdy w grę wchodzi tego rodzaju złośliwe oprogramowanie.

To znacząca zmiana w podejściu sponsorowanych przez państwo aktorów do trwałości w systemie. Zamiast polegać na złośliwym oprogramowaniu, które można znaleźć i usunąć, lub danych uwierzytelniających, które można unieważnić, Laundry Bear zdaje się celować w samą strukturę uprawnień serwera pocztowego. To trudniejszy problem do rozwiązania, ponieważ wymaga od organizacji kontrolowania konfiguracji i praw dostępu, a nie tylko skanowania w poszukiwaniu złośliwych plików czy resetowania haseł.

Dlaczego cele z sektorów krytycznych są szczególnie narażone

Agencje rządowe i operatorzy infrastruktury krytycznej są atrakcyjnymi celami dla sponsorowanych przez państwo grup właśnie dlatego, że ich systemy pocztowe często zawierają wrażliwą korespondencję, dyskusje dotyczące polityki i szczegóły operacyjne. Implant zapewniający długoterminowy dostęp do skrzynek na poziomie właściciela daje atakującym cichy, stały wgląd w te informacje długo po tym, jak początkowa intruzja mogłaby zostać w inny sposób opanowana.

Ten schemat atakowania infrastruktury i systemów korporacyjnych przez podmioty powiązane z Rosją nie jest odosobniony. Inne niedawne incydenty, w tym przypadek, gdy Stadler Rail odmówił wielomilionowego żądania okupu po ataku na serwery pocztowe Zimbra, pokazują szerszy trend, w którym grupy powiązane z rządami i grupy przestępcze sondują korporacyjną infrastrukturę pocztową w wielu sektorach i krajach. Serwery pocztowe, niezależnie od tego, czy Exchange, czy Zimbra, pozostają niezmiennie atrakcyjnym celem, ponieważ znajdują się w centrum wewnętrznej komunikacji organizacji i często stanowią klucz do dalszego dostępu.

Co to oznacza dla Ciebie

Jeśli pracujesz w agencji rządowej, organizacji z sektora krytycznego lub jakimkolwiek przedsiębiorstwie korzystającym z lokalnego serwera Exchange, OWAReaper przypomina, że standardowe procedury reagowania na incydenty mogą same w sobie nie wystarczyć. Zmienianie haseł i odbudowa maszyn to wciąż niezbędne kroki, ale nie należy ich traktować jako dowodu, że intruzja została w pełni zneutralizowana.

Dla zespołów IT i bezpieczeństwa oznacza to konieczność bezpośredniego audytu uprawnień do skrzynek Exchange Server, ze szczególnym zwróceniem uwagi na przyznane prawa właściciela, które nie zostały wyraźnie autoryzowane. Istotna jest tu również segmentacja sieci: ograniczenie tego, jak daleko atakujący może się przemieszczać bocznie z zaatakowanego serwera pocztowego, zmniejsza szkody nawet wtedy, gdy obecne są mechanizmy trwałości takie jak OWAReaper. Korzystanie z VPN do zdalnego dostępu administracyjnego do infrastruktury pocztowej, w połączeniu ze ścisłą kontrolą dostępu, zawęża ścieżki dostępne dla atakujących próbujących dotrzeć do tych systemów.

Dla zwykłych pracowników praktyczne porady pozostają znane, ale ważne: zachowaj ostrożność w przypadku nieoczekiwanych wiadomości e-mail, natychmiast zgłaszaj działowi IT wszystko, co nietypowe, i zrozum, że przejęcie skrzynki pocztowej może wpłynąć na współpracowników i partnerów, którzy otrzymują z niej wiadomości, a nie tylko na właściciela konta.

Praktyczne wnioski

Organizacje korzystające z Exchange Server, szczególnie w środowiskach rządowych lub sektora krytycznego, powinny traktować rotację danych uwierzytelniających i ponowne obrazowanie jako odpowiedzi konieczne, ale niewystarczające w przypadku podejrzenia naruszenia. Zespoły bezpieczeństwa powinny w szczególności kontrolować uprawnienia właściciela skrzynki, zamiast zakładać, że czysta odbudowa usuwa mechanizmy trwałości. Segmentacja sieci i zabezpieczony VPN-em dostęp administracyjny mogą ograniczyć to, jak daleko przemieszczą się atakujący, nawet gdy implant taki jak OWAReaper przetrwa początkowe działania naprawcze. Wreszcie, bycie na bieżąco z tym, jak powiązane z Rosją grupy, takie jak Laundry Bear, rozwijają swoje taktyki, pomaga zespołom bezpieczeństwa przewidywać podobne triki trwałości w przyszłych kampaniach, zamiast reagować po fakcie.