O breșă tăcută, apoi o amenințare zgomotoasă

Grupul de extorcare cunoscut sub numele de Clop și-a construit reputația pe o strategie specifică: găsește o vulnerabilitate critică în software enterprise utilizat pe scară largă, o exploatează discret împotriva cât mai multor victime posibil, apoi se dezvăluie săptămâni sau luni mai târziu cu emailuri amenințătoare prin care cere plata. Potrivit relatărilor despre cea mai recentă campanie a grupului, acest tipar s-a repetat cu software-ul de gestionare a ciclului de viață al produsului (PLM) de la PTC. Se crede că Clop a compromis o vulnerabilitate critică în sistemele PTC în iunie, dar victimele nu au primit emailuri de șantaj decât o lună mai târziu, în iulie.

Acest interval dintre compromiterea inițială și amenințarea publică nu este o coincidență. Este o parte deliberată a modului în care operează Clop și este motivul pentru care amploarea completă a acestui incident încă nu este pe deplin clară nici acum. Cercetătorii în securitate, inclusiv analiști de la Recorded Future, au încercat să reconstituie cronologia și amploarea campaniei, iar imaginea care se conturează sugerează că acest incident va avea o coadă lungă de dezvăluiri, investigații și consecințe în aval.

De ce software-ul PLM este o problemă de confidențialitate, nu doar una de IT

Platformele de gestionare a ciclului de viață al produsului, precum cele afectate aici, nu sunt percepute de obicei ca sisteme sensibile din punctul de vedere al confidențialității, în modul în care ar putea fi o bază de date de spital sau un procesator de plăți. Dar această presupunere subestimează ceea ce se află de fapt în interiorul lor. Software-ul PLM stochează documente de proiectare, specificații tehnice, evidențe ale furnizorilor și partenerilor și, adesea, acreditările angajaților folosite pentru a accesa aceste sisteme. Cu alte cuvinte, este un depozit atât de proprietate intelectuală, cât și de date personale, aflat în interiorul unor companii care s-ar putea să nu îl fi tratat ca pe un activ de securitate de prim rang.

Aceasta este o parte din ceea ce face abordarea celor de la Clop atât de eficientă. În loc să vizeze o singură organizație de profil înalt, grupul tinde să exploateze un software implementat pe scară largă, de care se bazează multe companii, apoi să parcurgă lista rezultată de victime una câte una. Este o strategie care ecouă o lecție mai amplă din istoria securității cibernetice: odată ce un exploit pentru o vulnerabilitate critică este armat la scară mare, pagubele rareori rămân limitate la o singură țintă. Virusul WannaCry rămâne exemplul clasic a ceea ce se întâmplă atunci când un exploit furat sau neactualizat se răspândește necontrolat și, deși metoda celor de la Clop este mai chirurgicală și orientată spre profit decât un vierme care se auto-propaga, riscul subiacent pentru organizațiile care amână aplicarea patch-urilor este remarcabil de similar.

Consecințele sunt încă în desfășurare

Ceea ce face acest incident deosebit de demn de urmărit este întârzierea dintre exploatare și dezvăluire. A trecut o lună între compromiterea inițială și emailurile de șantaj care au ajuns în căsuțele poștale ale victimelor. În acea fereastră, Clop a avut timp să extragă date de la un număr necunoscut de organizații înainte ca cineva din afara grupului să știe că un atac era în curs. Acest tip de timp de staționare tăcut este exact ceea ce permite breșelor să devină mult mai mari decât estimările inițiale, o dinamică văzută în alte incidente recente în care numărul raportat de victime a crescut brusc pe măsură ce investigațiile s-au maturizat, cum ar fi breșa Conduent, care s-a extins la peste 62 de milioane de persoane afectate mult după dezvăluirea inițială.

Pentru companiile care folosesc software-ul afectat de la PTC, prioritatea imediată este să determine dacă au fost compromise în timpul ferestrei de exploatare din iunie, nu doar să răspundă la emailurile de șantaj din iulie. Pentru toți ceilalți, inclusiv angajați, contractori și parteneri de afaceri ale căror informații personale ar fi putut fi stocate în aceste sisteme, îngrijorarea este că notificările și evaluările complete de impact ar putea dura luni de zile până să apară, la fel ca în alte breșe la scară largă în care amploarea reală devine clară doar mult după ce titlurile inițiale se estompează, așa cum s-a întâmplat cu incidente precum breșa Paidwork.

Ce înseamnă acest lucru pentru tine

Dacă lucrezi la o companie care folosește software-ul PLM de la PTC sau dacă angajatorul tău partajează date cu furnizori și parteneri care îl folosesc, acest incident merită urmărit chiar dacă nu ai primit încă o notificare. Natura întârziată a dezvăluirilor celor de la Clop înseamnă că evaluările de impact sunt probabil încă în curs și că victime suplimentare ar putea fi numite în săptămânile sau lunile următoare.

Într-un sens mai larg, acest incident este o reamintire că riscul pentru confidențialitatea datelor nu se află doar în bazele de date orientate către clienți. Software-ul intern de inginerie și de gestionare a lanțului de aprovizionare poate deține la fel de multe informații personale sensibile și primește adesea mult mai puțin control din partea securității.

Concluzii acționabile

  • Dacă organizația ta folosește Windchill de la PTC sau software PLM similar, verifică cu echipa ta de IT sau securitate dacă au fost aplicate patch-urile și dacă au fost investigate indicii de compromitere care datează din iunie.
  • Fii atent la emailurile de notificare a breșelor în lunile următoare, mai degrabă decât să presupui că lipsa veștilor înseamnă lipsa impactului, având în vedere istoricul celor de la Clop de dezvăluire întârziată.
  • Dacă primești o notificare legată de acest incident, tratează orice acreditări de autentificare asociate cu sistemul afectat ca fiind compromise și schimbă-le imediat, împreună cu orice alte conturi care folosesc aceeași parolă.
  • Companiile care se bazează pe furnizori terți de software ar trebui să întrebe despre termenele de aplicare a patch-urilor pentru vulnerabilități critice ca parte standard a gestionării riscului legat de furnizori, nu doar după ce un incident ajunge pe prima pagină.

Hack-ul PTC al celor de la Clop este un exemplu clar al modului în care o singură vulnerabilitate critică în software enterprise poate avea ecou luni de zile, afectând companii și persoane care s-ar putea să nu aibă idee că datele lor au fost vreodată în pericol. A rămâne informat pe măsură ce consecințele continuă să iasă la suprafață este cea mai bună apărare în timp ce investigațiile sunt în curs.