Co ujawniły badania prowadzone przez Proofpoint

Wspólne śledztwo Proofpoint, Google Threat Intelligence Group, Microsoft Threat Intelligence Center i Volexity ujawniło coś, co badacze rzadko widują tak wyraźnie udokumentowane: kilka powiązanych z państwami grup hakerskich zaczęło wykorzystywać ten sam nieznany wcześniej exploit zero-day w ciągu kilku dni od siebie. Cztery organizacje, które wspólnie obejmują ogromną część globalnej widoczności w zakresie threat intelligence, połączyły swoje ustalenia, aby potwierdzić, że nie był to zbieg okoliczności ani powolny strumień naśladownictwa. Było to niemal jednoczesne przyjęcie exploitu przez odrębne, niepowiązane grupy powiązane z państwami narodowymi.

Ten rodzaj wzajemnie weryfikowanych badań ma znaczenie, ponieważ każda z tych firm zazwyczaj śledzi inne wycinki krajobrazu zagrożeń: Proofpoint koncentruje się w dużej mierze na intruzach opartych na poczcie e-mail i infrastrukturze phishingu, Google i Microsoft monitorują miliardy punktów końcowych i sygnałów z chmury, a Volexity specjalizuje się w reagowaniu na incydenty dla celów o wysokiej wartości. Gdy wszystkie cztery niezależnie zauważają ten sam exploit pojawiający się w niepowiązanych kampaniach mniej więcej w tym samym czasie, jest to silny sygnał, że coś zmieniło się w sposobie, w jaki exploit stał się dostępny dla wielu podmiotów jednocześnie, zamiast każdej grupy odkrywającej go samodzielnie.

Dlaczego wielu aktorów państwowych tak szybko przyjęło exploit

Historycznie świeżo odkryty zero-day ma tendencję do pozostawania w rękach pojedynczej grupy lub małego, ściśle kontrolowanego kręgu przez tygodnie lub miesiące, zanim nastąpi szersze przyjęcie. To opóźnienie zwykle wynika z tego, że zero-daye są drogie w opracowaniu, niebezpieczne w ujawnieniu przez nadmierne użycie i cenne właśnie dlatego, że są rzadkie. Widok kilku wspieranych przez państwo grup podejmujących ten sam exploit w ciągu kilku dni łamie ten wzorzec i wskazuje na kilka prawdopodobnych wyjaśnień: exploit mógł zostać sprzedany lub udostępniony przez sieć brokerów obsługującą wielu klientów powiązanych z rządami, wyciec ze wspólnego pipeline'u rozwojowego lub zostać niezależnie odkryty ponownie, gdy wczesne ataki stały się wystarczająco głośne, by inne zaawansowane podmioty je zauważyły i dokonały inżynierii wstecznej.

Każdy z tych scenariuszy jest sam w sobie godny uwagi, ale razem opisują środowisko zagrożeń, w którym okno między „istnieje luka" a „wiele rządów ją wykorzystuje" się zawęża. To skrócenie jest prawdziwym nagłówkiem, nie samo istnienie kolejnego zero-daya. Odbija szerszy trend, który społeczność bezpieczeństwa dokumentuje, w tym w relacjach o lukach Siemens ROX II i fali CVE w Linuksie, które wszystkie wymagały szybkiej oceny w bardzo różnych typach infrastruktury.

Kto jest zagrożony i jakie systemy są celem

Zaangażowani badacze nie ujawnili publicznie każdej dotkniętej organizacji, ale udział Volexity oraz widoczność Google i Microsoft na skalę enterprise sugerują, że exploit jest w stanie dotrzeć do celów o wysokiej wartości: sieci rządowych, dużych przedsiębiorstw i organizacji polegających na szeroko wdrożonych stosach oprogramowania. Grupy powiązane z państwami zazwyczaj nie marnują cennego zero-daya na cele o niskiej wartości, więc jego użycie przez wielu aktorów sugeruje, że leżąca u podstaw podatność znajduje się w czymś szeroko wdrożonym i wartym ryzyka ujawnienia.

Dla zwykłych użytkowników bezpośrednie ryzyko jest zwykle pośrednie. Większość ludzi nie jest głównym celem szpiegostwa państwowego, ale oprogramowanie i usługi, z których korzystają, dostawcy poczty e-mail, platformy chmurowe i narzędzia enterprise, często są. Gdy taki zero-day krąży, skutki mogą ostatecznie dotknąć łańcuchów dostaw, dostawców usług lub każdego, którego dane przechodzą przez dotknięty system.

Praktyczne kroki, by już teraz zmniejszyć ekspozycję

Czekanie na idealne informacje o zero-dayu przed podjęciem działania to przegrana strategia. Praktyczna reakcja jest taka sama, jaką zespoły bezpieczeństwa powtarzają od lat, i pozostaje skuteczna właśnie dlatego, że nie zależy od znajomości każdego szczegółu konkretnego exploitu:

  • Stosuj poprawki bezpieczeństwa tak szybko, jak dostawcy je wydadzą, i priorytetowo traktuj systemy wystawione na internet lub przetwarzające wrażliwe dane.
  • Uważnie monitoruj biuletyny dostawców i zestawienia threat intelligence w okresach, gdy potwierdzone jest aktywne wykorzystywanie zero-dayów, podobnie jak szybka reakcja wymagana przy niedawnej poprawce Chrome V8 zero-day.
  • Stosuj obronę wielowarstwową, zamiast polegać na jednej kontroli. VPN może pomóc chronić dane w tranzycie i zmniejszyć ekspozycję w niezaufanych sieciach, ale nie powstrzyma exploitu wymierzonego bezpośrednio w podatną aplikację, więc powinien być połączony z ochroną punktów końcowych, segmentacją sieci i silnymi kontrolami dostępu.
  • Bądź na bieżąco dzięki regularnym zestawieniom bezpieczeństwa, ponieważ ujawnienia exploitów i harmonogramy poprawek zmieniają się szybko i często giną w cyklu informacyjnym, jak widać w bieżących relacjach, takich jak cotygodniowe zestawienie o Certighost i innych ujawnieniach zero-day.

Co to oznacza dla Ciebie

Większość czytelników nie będzie bezpośrednim celem wspieranej przez państwo grupy hakerskiej, ale oprogramowanie i usługi, od których wszyscy zależą, wciąż mogą znaleźć się w krzyżowym ogniu. Prawdziwa lekcja z tych badań to nie istnienie kolejnej historii o zero-dayu wspieranych przez państwo hakerów; to szybkość, z jaką ten exploit rozprzestrzenił się wśród wielu niezależnych aktorów państwowych. Ta szybkość oznacza, że organizacje, a co za tym idzie ich użytkownicy, mają mniej czasu niż kiedykolwiek na załatanie, zanim luka stanie się szeroko uzbrojona. Traktuj każde krytyczne powiadomienie o poprawce poważnie i nie zakładaj, że kilkudniowe opóźnienie jest nieszkodliwe.

Najważniejsze wnioski

Badania prowadzone przez Proofpoint przypominają, że exploity zero-day nie pozostają już długo wyłączne, gdy tylko się pojawią. Dla osób oznacza to aktualizowanie oprogramowania bez zwłoki, zwracanie uwagi na biuletyny bezpieczeństwa i stosowanie warstwowych zabezpieczeń, takich jak VPN obok, a nie zamiast, dobrych nawyków dotyczących poprawek. Dla organizacji wzmacnia to wartość wymiany threat intelligence między dostawcami, ponieważ właśnie tego rodzaju współpraca między Proofpoint, Google, Microsoft i Volexity ujawniła ten wzorzec, zanim pozostał niezauważony dłużej. Śledzenie aktualnych zestawień bezpieczeństwa i wydań poprawek pozostaje najprostszym i najskuteczniejszym sposobem, by uniknąć stania się ofiarą uboczną w cyberoperacji państwowej.