Обов’язковий інструмент стає невидимою пасткою

Південнокорейські інтернет-користувачі довгий час були змушені встановлювати спеціальні безпекові та банківські плагіни лише для того, щоб здійснювати базові онлайн-транзакції, — систему, покликану захищати фінансову діяльність. Тепер ця сама вимога стала точкою входу для серйозного вторгнення, підтримуваного державою. Згідно зі спільним бюлетенем від Корейського інтернет- та безпекового агентства (KISA) й трьох інших державних органів, зловмисники використали вразливість нульового дня в AnySign4PC — широко обов’язковому інструменті автентифікації для банківських послуг, щоб непомітно встановити бекдори на комп’ютери всіх, хто просто відвідував певні вебсайти.

Це була атака типу «водопій» — метод, за якого хакери компрометують легітимні, довірені сайти, замість того щоб атакувати цілі напряму. Щойно звичні онлайн-звички жертви приводять її на отруєний сайт, шкідливий код робить усе інше. У цьому випадку бюлетень ідентифікував 15 легітимних новинних видань і сайтів лікарень, які було скомпрометовано для доставлення експлойта.

Чому експлойт без жодного кліка такий небезпечний

Особливо тривожним цю кампанію робить те, чого вона не вимагала: жодного завантаженого вкладення, жодного фішингового посилання, жодної помилки користувача. Оскільки AnySign4PC був встановлений як фонова служба на дуже багатьох корейських системах, щоб задовольнити вимоги банківських і державних порталів, самого лише завантаження скомпрометованої новинної статті чи сторінки запису до лікарні було достатньо, щоб активувати експлойт і скинути бекдор на машину відвідувача.

Це визначальна риса атаки нульового дня: вразливість була невідома розробникам програмного забезпечення та захисникам у момент її активного використання, тобто не було жодного патчу чи сигнатурного виявлення, яке могло б стати на заваді. У поєднанні з методом доставлення через «водопій» зловмисники фактично перетворили програмне забезпечення, яке мільйони людей зобов’язані запускати, на інструмент масового стеження та доступу, не вимагаючи від жодної з цих людей жодної помилки.

Націлювання на новинні видання та лікарні також варте уваги. Це саме ті місця з високим трафіком і високою довірою, які широке коло відвідувачів — журналісти, медичний персонал, пацієнти — відвідують регулярно й без підозр. Таке поєднання обов’язкового програмного забезпечення та довірених пунктів призначення створило ідеальні умови для тихого, широкомасштабного компрометування.

Спонсовані державою атаки на публічну інфраструктуру — зростаюча тенденція

Цей інцидент вписується в ширшу тенденцію, коли пов’язані з державою суб’єкти націлюються на програмне забезпечення та інфраструктуру, на які пересічні громадяни фактично змушені покладатися — через закон, звичаї чи необхідність. Державні та загальнодоступні системи стають привабливими цілями саме тому, що їх компрометування може вплинути на велику кількість людей одночасно. Вебсайт президента Кенії нещодавно зазнав атаки програм-вимагачів, що змусило владу обмежити публічний доступ — ще один приклад порушення критичної публічної інфраструктури рішучими зловмисниками, навіть якщо мотиви та методи відрізнялися від випадку з AnySign4PC.

Базовий урок в обох випадках схожий: коли програмне забезпечення чи послуги стають обов’язковими або неминучими для громадян, безпека цього програмного забезпечення стає справою національної стурбованості, а не лише проблемою приватної компанії. Одна єдина вада в широко розгорнутому, ухваленому державою інструменті може перерости в загальнонаціональну подію вразливості набагато швидше, ніж вразливість у необов’язковому, нішевому програмному забезпеченні.

Що це означає для вас

Якщо ви не перебуваєте в Південній Кореї або не використовуєте AnySign4PC, цей конкретний експлойт не вплине на вас безпосередньо. Але тенденція, яку він представляє, має значення всюди, де програмні вимоги перетинаються з повсякденним вебсерфінгом. Щоразу, коли вас зобов’язують встановити фоновий плагін, агент або інструмент автентифікації для доступу до банківських, державних чи медичних послуг, це програмне забезпечення стає частиною вашої поверхні атаки, незалежно від того, взаємодієте ви з ним напряму чи ні.

Для користувачів з Південної Кореї саме бюлетень KISA та його партнерських агенцій є авторитетним джерелом щодо кроків з усунення, патчів та індикаторів компрометації. Слідкуйте за офіційними оновленнями до AnySign4PC та застосовуйте їх щойно вони стануть доступними, а також будьте обережними з приводу будь-яких несподіваних запитів або поведінки під час відвідування новинних чи медичних сайтів найближчим часом.

У ширшому сенсі цей інцидент є нагадуванням, що обов’язкове безпекове програмне забезпечення не є автоматичним синонімом сильної безпеки. Уряди, що вимагають конкретних інструментів для фінансового чи адміністративного доступу, несуть відповідальність за те, щоб ці інструменти були ретельно протестовані та швидко пропатчені, оскільки користувачі часто не мають змістовного вибору щодо їх встановлення. Дебати щодо обов’язкових цифрових інструментів не обмежуються й банківським програмним забезпеченням; такі зусилля, як відновлена пропозиція ЄС щодо контролю чатів, показують, як обов’язкова чи вбудована технологія може створювати компроміси між приватністю та безпекою, які поширюються далеко за межі початкових намірів.

Практичні висновки

  • Якщо ви використовуєте AnySign4PC або подібне обов’язкове корейське банківське програмне забезпечення, перевірте наявність офіційних патчів від KISA та негайно застосуйте їх.
  • Будьте уважними до незвичної поведінки під час відвідування новинних або лікарняних вебсайтів у Південній Кореї, доки не буде підтверджено повну санацію 15 уражених сайтів.
  • Визнайте, що обов’язкове чи вбудоване безпекове програмне забезпечення заслуговує на таку саму перевірку, як і будь-яка інша програма, яка має доступ до вашої системи.
  • Керуйтеся офіційними урядовими бюлетенями, а не неперевіреними повідомленнями, щодо вказівок з усунення активних експлойтів нульового дня, як-от цей.
  • Підтримуйте ширші розмови про підзвітність для обов’язкового програмного забезпечення, оскільки користувачі часто не можуть від нього відмовитися, навіть коли виникають вразливості.