Коли інструменти, яким ви довіряєте, стають загрозою
Кластер інцидентів безпеки, що потрапили в заголовки цього тижня, має незручну спільну рису: скомпрометовані системи були тими, яким організації та окремі особи мали довіряти найбільше. Google виправив вразливість нульового кліку в модемах Pixel, яка активно використовувалася, зловмисники обернули платформу віддаленого управління ScreenConnect проти постачальників керованих послуг, інфраструктура ідентифікації WSO2 зазнала активної експлуатації, а кібератака вразила нафтовий танкер. У сукупності ці інциденти ілюструють закономірність, про яку дослідники безпеки постійно попереджають: сама довіра стала поверхнею атаки.
Жодна з цих подій не існує ізольовано. Чип модема, інструмент віддаленої підтримки, платформа ідентифікації та елемент критичної морської інфраструктури — усі вони розроблені так, щоб бути надійними за замовчуванням. Саме це робить їх привабливими цілями.
Вразливість Pixel без кліків: кліки не потрібні
Google випустив патч для вразливості нульового кліку в прошивці модема, що використовується в пристроях Pixel, і було виявлено, що ця вразливість активно експлуатувалася ще до виходу виправлення. Експлойт нульового кліку особливо небезпечний, оскільки він взагалі не потребує жодної взаємодії з боку жертви. Немає фішингового посилання, на яке потрібно натиснути, немає шкідливого вкладення, яке потрібно відкрити, і немає підозрілого додатка для встановлення. Вразливість може бути активована просто обробкою вхідних даних на рівні модема, що означає, що власник телефону практично не має можливості уникнути її через обережність чи обізнаність.
Саме тому вразливості рівня модема та базової смуги вважаються одними з найсерйозніших недоліків у мобільній безпеці. Вони діють нижче того рівня, де більшість користувачів і навіть більшість антивірусних інструментів мають видимість. Той факт, що ця вразливість експлуатувалася в дикій природі до публічного розкриття, підкреслює, наскільки цінними є ці низькорівневі помилки для витончених зловмисників.
Зловживання ScreenConnect націлене на MSP, від яких залежить бізнес
Зловмисники також обертають ScreenConnect, широко використовуваний інструмент віддаленого доступу та підтримки, проти постачальників керованих послуг, які його використовують. MSP займають унікально чутливу позицію: їм довіряють адміністративний доступ до десятків або сотень клієнтських мереж одночасно. Коли інструмент віддаленого управління, який використовує MSP, скомпрометовано або використано неналежним чином, радіус ураження поширюється далеко за межі самого постачальника і на кожного клієнта нижчого рівня, що покладається на цей доступ.
Цей тип атаки на ланцюг постачання перегукується з іншими нещодавніми інцидентами, де зловмисники експлуатували довірчі відносини, а не пробивали укріплений периметр. Атака Megalodon, що вразила тисячі репозиторіїв GitHub за лічені години продемонструвала схожий принцип: автоматизуйте зловживання довіреною платформою, і збитки швидко зростають. MSP та бізнеси, які від них залежать, повинні виходити з того, що будь-яка єдина точка привілейованого віддаленого доступу є високоцінною ціллю.
Інфраструктура ідентифікації WSO2 зазнає активної експлуатації
Інфраструктура ідентифікації, така як WSO2, знаходиться в центрі того, як організації перевіряють, кому дозволено доступ до чого. Коли цей рівень активно експлуатується, наслідки поширюються на кожен додаток і сервіс, що покладається на нього для автентифікації. Це відображає ширшу тенденцію зловмисників атакувати системи ідентифікації та доступу безпосередньо, а не намагатися зламати окремі додатки по одному, стратегію, також помічену в нещодавніх активно експлуатованих вразливостях Netlogon, що впливають на корпоративні протоколи автентифікації. Як тільки інфраструктуру ідентифікації скомпрометовано, захисники часто не можуть довіряти власним журналам або засобам контролю доступу, що робить відновлення значно складнішим.
Кібератака досягає нафтового танкера
Повідомлення про кібератаку на нафтовий танкер є нагадуванням, що цифрова компрометація більше не обмежується серверами та програмним забезпеченням. Морські перевезення все більше залежать від мережевої навігації, зв'язку та операційних систем, і атака на цю інфраструктуру має наслідки у фізичному світі, що виходять за межі втрати даних.
Що це означає для вас
Більшість читачів не керують безпосередньо нафтовим танкером чи платформою ідентифікації, але основний урок застосовний широко. Вразливість Pixel без кліків вражає звичайних користувачів смартфонів, і це сильний аргумент на користь негайного оновлення пристроїв, а не відкладання патчів. Якщо ви користуєтеся послугами MSP для IT-підтримки або якщо ваша організація покладається на сторонній інструмент віддаленого доступу, запитайте, які засоби моніторингу та контролю доступу впроваджено. Довіра до ланцюга постачання, чи то в мобільному модемі, платформі віддаленої підтримки чи завантаженні програмного забезпечення, є настільки міцною, наскільки міцною є найслабша ланка в цьому ланцюзі, урок, також помітний у компрометації ланцюга постачання JDownloader, де легітимні інсталятори були замінені на шкідливі.
Практичні висновки
Встановіть останнє оновлення безпеки Pixel, щойно воно стане доступним, оскільки вразливість нульового кліку не потребує жодної помилки користувача для експлуатації. Якщо ваш бізнес використовує ScreenConnect або подібний інструмент віддаленого управління, перевірте з вашим MSP, що журнали доступу переглядаються і що багатофакторна автентифікація впроваджена для всіх адміністративних облікових записів. Організації, які використовують WSO2 або подібну інфраструктуру ідентифікації, повинні негайно застосувати доступні патчі та перевірити журнали автентифікації на наявність аномалій. А для всіх, хто працює в галузях, дотичних до критичної інфраструктури, цей кластер інцидентів є сигналом переглянути плани реагування на інциденти зараз, а не після того, як атака станеться.
