Firma z branży cyberbezpieczeństwa Sygnia opublikowała nowe badania identyfikujące powiązanego z Chinami aktora zagrożeń, którego nazywa Fire Ant, i który — według firmy — atakował zaufaną infrastrukturę. Ustalenia pochodzą z prac firmy Sygnia nad reagowaniem na incydenty, czyli tych samych dochodzeń kryminalistycznych, które wcześniej ujawniły inne znaczące grupy zagrożeń. Choć szczegóły dotyczące konkretnych technik Fire Ant pozostają ograniczone w publicznym ujawnieniu firmy Sygnia, nazwanie i śledzenie nowego aktora powiązanego z państwem jest istotne dla organizacji, które polegają na systemach stron trzecich i współdzielonej infrastrukturze w prowadzeniu swojej działalności.

Kim jest Fire Ant i dlaczego ma to znaczenie?

Sygnia opisuje Fire Ant jako aktora zagrożeń powiązanego z Chinami, który był obserwowany podczas atakowania zaufanej infrastruktury. W terminologii cyberbezpieczeństwa „zaufana infrastruktura" odnosi się zazwyczaj do systemów, sieci i usług stron trzecich, na których organizacje polegają i które często zakładają jako bezpieczne z założenia — takich jak systemy uwierzytelniania, narzędzia do zarządzania siecią czy współdzieleni dostawcy usług. Gdy atakujący przełamują ten rodzaj infrastruktury, zamiast atakować bezpośrednio pojedynczą firmę, mogą potencjalnie uzyskać przyczółek, który rozciąga się na wielu odbiorców niższego szczebla jednocześnie.

Ten wzorzec wpisuje się w szerszy trend, który badacze bezpieczeństwa śledzą od lat: grupy powiązane z państwami coraz częściej preferują kompromitacje na poziomie łańcucha dostaw i infrastruktury, ponieważ zapewniają one bardziej efektywny dostęp niż atakowanie każdego celu bezpośrednio. Identyfikacja Fire Ant przez Sygnię dodaje kolejnego nazwanego aktora do listy grup, na które zespoły ds. bezpieczeństwa muszą zwracać uwagę podczas audytowania swojej ekspozycji na systemy współdzielone i systemy stron trzecich.

Szersze badania zagrożeń firmy Sygnia: Vice Society i Luna Moth

Fire Ant nie jest jedynym aktorem zagrożeń, którego bada zespół reagowania na incydenty firmy Sygnia. Ten sam zakres prac kryminalistycznych wcześniej analizował Vice Society, grupę ransomware znaną z przeprowadzania ataków podwójnego wymuszenia, gdzie atakujący zarówno szyfrują dane ofiary, jak i grożą ujawnieniem skradzionych plików, jeśli okup nie zostanie zapłacony. Śledczy firmy Sygnia zbadali, jak operatorzy Vice Society poruszali się po środowiskach ofiar i eksfiltrowali dane — ustalenia te zapewniły rzadki, bezpośredni wgląd w jak ransomware Vice Society wykorzystywało OneDrive do kradzieży danych. Te badania pokazały, jak atakujący mogą zamienić codzienne narzędzia do przechowywania w chmurze, którym firmy już ufają, w kanał kradzieży wrażliwych danych korporacyjnych.

Zespół firmy Sygnia zidentyfikował również grupę znaną jako Luna Moth, którą firma opisuje jako przypominającą oszustów podszywających się pod fałszywe subskrypcje, ale ostatecznie skoncentrowaną na kradzieży danych korporacyjnych. Łącznie te dochodzenia malują obraz krajobrazu zagrożeń, w którym atakujący wahają się od załóg ransomware prowadzących schematy podwójnego wymuszenia po grupy napędzane inżynierią społeczną podszywające się pod legalne usługi — a wszyscy zmierzają do tego samego celu: zdobycia cennych informacji korporacyjnych.

Problem łańcucha dostaw i zaufanej infrastruktury

Tym, co łączy Fire Ant, Vice Society i Luna Moth w badaniach firmy Sygnia, nie jest wspólny zestaw narzędzi, ale wspólna logika strategiczna. Każdy z tych aktorów na różne sposoby wykorzystuje zaufanie, jakie organizacje pokładają w systemach i usługach, z których korzystają codziennie — czy to platforma przechowywania w chmurze, usługa subskrypcyjna, czy kluczowa infrastruktura sieciowa. Dla obrońców oznacza to, że zabezpieczenie obwodu pojedynczej organizacji już nie wystarcza. Zespoły ds. bezpieczeństwa potrzebują widoczności w zakresie tego, jak narzędzia stron trzecich i dostawcy infrastruktury mogą stać się punktem wejścia, a także potrzebują planów reagowania na incydenty uwzględniających ataki pochodzące spoza ich bezpośredniej kontroli.

Jest to szczególnie istotne dla organizacji w sektorach, które w dużym stopniu polegają na współdzielonej infrastrukturze, w tym dostawców usług zarządzanych, platform chmurowych i wszelkich firm outsourcingujących znaczące części swojego stosu technologicznego. Kompromitacja na poziomie infrastruktury może promieniować na zewnątrz, wpływając na wiele organizacji, które nigdy nie miały bezpośredniej interakcji z atakującym.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja korzysta z przechowywania w chmurze, narzędzi do zarządzania IT stron trzecich lub polega na dostawcach usług zarządzanych, badania firmy Sygnia są przypomnieniem, aby spojrzeć poza granice własnej sieci. Zapytaj swoich dostawców i usługodawców, jakie monitorowanie i kontrolę dostępu mają wdrożone, i upewnij się, że Twój własny zespół ma widoczność w zakresie przepływu danych do i z zaufanych platform. Ransomware podwójnego wymuszenia i grupy skoncentrowane na kradzieży danych, takie jak te śledzone przez Sygnię, nie muszą przełamywać Twoich systemów bezpośrednio, jeśli mogą skompromitować infrastrukturę, której już ufasz.

Dla indywidualnych pracowników praktyczne porady pozostają spójne: należy zachować ostrożność wobec nieoczekiwanych monitów o subskrypcję lub rozliczenia, weryfikować nietypową aktywność kont za pośrednictwem oficjalnych kanałów i niezwłocznie zgłaszać wszystko podejrzane do działu IT lub ds. bezpieczeństwa.

Kluczowe wnioski

Identyfikacja Fire Ant przez Sygnię dodaje nowe, powiązane z Chinami nazwisko do listy aktorów zagrożeń atakujących zaufaną infrastrukturę, a pojawia się ona obok ciągłej pracy firmy ujawniającej, jak grupy takie jak Vice Society i Luna Moth wykorzystują zaufane platformy i usługi do kradzieży danych korporacyjnych. Organizacje powinny przeanalizować swoją ekspozycję na infrastrukturę stron trzecich, zaostrzyć monitorowanie wokół przechowywania w chmurze i usług współdzielonych oraz pozostawać na bieżąco, gdy badacze publikują kolejne szczegóły na temat sposobu działania tych grup. Zaufana infrastruktura będzie nadal przyciągać atakujących właśnie dlatego, że jest zaufana, co sprawia, że ciągła czujność jest niezbędna, a nie opcjonalna.