Ce a descoperit cercetarea condusă de Proofpoint

O investigație comună a Proofpoint, Google Threat Intelligence Group, Microsoft Threat Intelligence Center și Volexity a descoperit ceva ce cercetătorii rareori văd documentat atât de clar: mai multe grupuri de hackeri aliniate statelor au început să folosească același exploit zero-day necunoscut anterior în câteva zile unul de celălalt. Cele patru organizații, care împreună acoperă o parte uriașă a vizibilității globale asupra amenințărilor informatice, și-au combinat constatările pentru a confirma că nu a fost o coincidență sau un flux lent de activitate imitativă. A fost o adoptare aproape simultană de către grupuri separate, fără legătură, asociate unor state-națiune.

Acest tip de cercetare cross-referențiată contează pentru că fiecare dintre aceste firme urmărește de obicei diferite felii ale peisajului de amenințări: Proofpoint se concentrează puternic pe intruziunea bazată pe e-mail și infrastructura de phishing, Google și Microsoft monitorizează miliarde de endpoint-uri și semnale din cloud, iar Volexity este specializată în răspuns la incidente pentru ținte de mare valoare. Când toate cele patru observă independent același exploit apărând în campanii fără legătură, aproximativ în același timp, este un semnal puternic că ceva s-a schimbat în modul în care exploitul a devenit disponibil simultan pentru mai mulți actori, în loc ca fiecare grup să-l fi descoperit singur.

De ce mai mulți actori statali au adoptat exploitul atât de repede

Din punct de vedere istoric, un zero-day proaspăt descoperit tinde să rămână în mâinile unui singur grup, sau ale unui cerc mic și strict controlat, timp de săptămâni sau luni înainte de o adoptare mai largă. Această întârziere apare de obicei pentru că zero-day-urile sunt costisitoare de dezvoltat, periculoase de expus prin utilizare excesivă și valoroase exact pentru că sunt rare. Faptul că mai multe grupuri susținute de stat au preluat același exploit în câteva zile încalcă acest tipar și indică câteva explicații probabile: exploitul ar fi putut fi vândut sau partajat printr-o rețea de intermediari care deservește mai mulți clienți aliniați guvernelor, scurs dintr-o conductă de dezvoltare comună sau redescoperit independent odată ce atacurile timpurii au devenit suficient de zgomotoase pentru ca alți actori sofisticați să le observe și să le inginerizeze invers.

Oricare dintre aceste scenarii este notabil în sine, dar împreună descriu un mediu de amenințare în care fereastra dintre „există o vulnerabilitate” și „mai multe guverne o exploatează” se micșorează. Această comprimare este adevărata știre principală aici, nu doar existența unui alt zero-day. Ea reflectă o tendință mai amplă pe care comunitatea de securitate a documentat-o, inclusiv în acoperirea vulnerabilităților Siemens ROX II și un val de CVE-uri Linux care au necesitat toate triaj rapid pe tipuri foarte diferite de infrastructură.

Cine este expus riscului și ce sisteme sunt vizate

Cercetătorii implicați nu au detaliat public fiecare organizație afectată, dar implicarea Volexity și vizibilitatea la scară enterprise a Google și Microsoft sugerează că exploitul este capabil să atingă ținte de mare valoare: rețele guvernamentale, întreprinderi mari și organizații care se bazează pe stive software implementate pe scară largă. Grupurile aliniate statelor, în general, nu irosesc un zero-day valoros pe ținte de mică valoare, așa că utilizarea sa de către mai mulți actori implică faptul că vulnerabilitatea de bază se află în ceva implementat pe scară largă și care merită riscul expunerii.

Pentru utilizatorii obișnuiți, riscul direct este de obicei indirect. Majoritatea oamenilor nu sunt ținta principală a spionajului statelor-națiune, dar software-ul și serviciile pe care le folosesc, furnizorii de e-mail, platformele cloud și instrumentele enterprise, sunt adesea vizate. Când un zero-day ca acesta circulă, consecințele pot ajunge în cele din urmă să afecteze lanțuri de aprovizionare, furnizori de servicii sau oricine ale cărui date trec printr-un sistem afectat.

Pași practici pentru reducerea expunerii chiar acum

Așteptarea unor informații perfecte despre un zero-day înainte de a acționa este o strategie pierzătoare. Răspunsul practic este același pe care echipele de securitate l-au repetat ani de zile și rămâne eficient exact pentru că nu depinde de cunoașterea fiecărui detaliu al unui exploit specific:

  • Aplicați patch-urile de securitate imediat ce furnizorii le lansează și prioritizați sistemele expuse la internet sau care gestionează date sensibile.
  • Monitorizați îndeaproape avizele furnizorilor și sintezele de threat intelligence în perioadele în care este confirmată exploatarea activă a unui zero-day, similar cu reacția rapidă necesară pentru recentul patch Chrome V8 zero-day.
  • Suprapuneți apărările în loc să vă bazați pe un singur control. Un VPN poate ajuta la protejarea datelor în tranzit și la reducerea expunerii pe rețele nesigure, dar nu va opri un exploit direcționat direct către o aplicație vulnerabilă, așa că ar trebui combinat cu protecție endpoint, segmentare de rețea și controale de acces puternice.
  • Rămâneți informat prin sinteze de securitate regulate, deoarece dezvăluirile de exploit-uri și termenele de patch se mișcă rapid și adesea sunt îngropate în ciclul de știri, așa cum se vede în acoperirea continuă precum sinteza săptămânală despre Certighost și alte dezvăluiri zero-day.

Ce înseamnă asta pentru dumneavoastră

Majoritatea cititorilor nu vor fi vizați direct de un grup de hackeri susținut de stat, dar software-ul și serviciile de care depinde toată lumea pot fi totuși prinse în focul încrucișat. Adevărata lecție din această cercetare nu este existența încă unei povești despre un exploit zero-day al hackerilor susținuți de stat; este cât de repede s-a răspândit acel exploit între mai mulți actori statali independenți. Această viteză înseamnă că organizațiile, și implicit utilizatorii lor, au mai puțin timp ca oricând să aplice patch-uri înainte ca o vulnerabilitate să devină larg armată. Tratați fiecare notificare critică de patch cu seriozitate și nu presupuneți că o întârziere de câteva zile este inofensivă.

Concluzii cheie

Cercetarea condusă de Proofpoint este o reamintire că exploit-urile zero-day nu mai rămân exclusive mult timp odată ce apar. Pentru indivizi, asta înseamnă menținerea software-ului actualizat fără întârziere, acordarea atenției la avizele de securitate și utilizarea protecțiilor stratificate precum un VPN alături de, nu în locul, obiceiurilor bune de aplicare a patch-urilor. Pentru organizații, întărește valoarea partajării threat intelligence între furnizori, deoarece exact acest tip de colaborare între Proofpoint, Google, Microsoft și Volexity a expus acest tipar înainte ca el să treacă neobservat mai mult timp. Menținerea la curent cu sintezele de securitate și lansările de patch-uri rămâne cea mai simplă și mai eficientă modalitate de a evita să deveniți pagube colaterale într-o operațiune cibernetică a unui stat-națiune.