Нещодавно задокументоване вторгнення програми-вимагача, приписане групі під назвою The Gentlemen, дає детальне уявлення про те, як зловмисники перетворюють один скомпрометований пристрій на повний контроль над усією мережею Windows. Згідно зі звітом, зловмисники перетворили початкову точку проникнення на доступ до всього домену, підвищивши стандартний обліковий запис до статусу адміністратора домену, а потім використали цей доступ, щоб вимкнути засоби безпеки перед розгортанням програми-вимагача. Це приклад того, чому підвищення привілеїв, а не початкове проникнення, часто є найнебезпечнішою фазою сучасної атаки.
Від однієї точки проникнення до контролю над усім доменом
У більшості вторгнень програм-вимагачів початкова точка доступу, будь то фішинговий електронний лист, відкрита віддалена служба чи скомпрометоване програмне забезпечення, рідко є кінцевою метою. Це лише точка входу. Справжня шкода відбувається пізніше, коли зловмисники переміщуються латерально по мережі в пошуках способів отримати привілеї вищого рівня.
У цьому випадку зловмисникам, як повідомляється, вдалося створити обліковий запис адміністратора домену в середовищі Windows цільової організації. Обліковий запис адміністратора домену — це, по суті, головний ключ до ІТ-інфраструктури організації. Будь-хто з таким рівнем доступу може створювати або видаляти облікові записи користувачів, встановлювати програмне забезпечення на всіх підключених машинах і, що критично важливо, вимикати програмне забезпечення безпеки, призначене для виявлення та зупинки зловмисників.
Останній крок — вимкнення засобів безпеки — це те, що відрізняє локалізований інцидент від повномасштабної атаки програми-вимагача. Щойно захисники втрачають можливість бачити події, зловмисники можуть вільно переміщатися, шифрувати файли, викрадати дані та поширюватися підключеними системами з набагато меншим опором.
Чому облікові записи адміністратора домену залишаються головною ціллю
Середовища Active Directory, на які покладається більшість підприємств і великих організацій для керування обліковими записами користувачів і дозволами, побудовані навколо ієрархії довіри. На вершині цієї ієрархії знаходиться група адміністраторів домену. Компрометація навіть одного облікового запису в цій групі фактично передає зловмиснику контроль над усією мережею, а не лише над одним зараженим комп'ютером.
Саме тому оператори програм-вимагачів так активно націлюються на методи підвищення привілеїв. Замість того, щоб намагатися компрометувати сотні окремих машин по одній, зловмисники шукають один шлях угору: неправильно налаштований дозвіл, погано захищений службовий обліковий запис або вразливість, яка дозволяє користувачу з низькими привілеями отримати права адміністратора. Щойно цей шлях знайдено, решта мережі часто швидко опиняється під контролем.
Інцидент також висвітлює повторювану тему в сучасних вторгненнях: зловмисникам не потрібно використовувати екзотичне шкідливе програмне забезпечення, щоб завдати найбільшої шкоди. Вбудовані інструменти адміністрування Windows і легітимні процеси створення облікових записів можуть бути зловживані так само ефективно, що ускладнює виявлення, оскільки така діяльність може виглядати як звичайне адміністрування ІТ, доки не стане надто пізно. Це відображає ширшу закономірність, яку можна спостерігати в ландшафті загроз, де зловмисники використовують довірені системи та процеси, що виглядають легітимно, а не покладаються лише на очевидне шкідливе програмне забезпечення. Подібна динаміка спостерігалася в атаці на ланцюг постачання Daemon Tools, де довіра до знайомого програмного забезпечення стала вектором компрометації замість підозрілого файлу чи посилання.
Що це означає для вас
Більшість читачів vpn.social не є системними адміністраторами, які керують корпоративними середовищами Active Directory, але основний урок застосовується широко: зловмисники постійно шукають найменший доступний розрив у привілеях і розширюють його до повного контролю. Чи то обліковий запис адміністратора домену в корпоративній мережі, чи застосунок із надмірними дозволами на особистому пристрої — схема підвищення привілеїв однакова.
Якщо ви керуєте ІТ-рішеннями або впливаєте на них у своїй організації, цей інцидент є нагадуванням перевірити, хто насправді має права адміністратора і чому. Привілеї адміністратора домену мають бути обмежені якомога меншою кількістю облікових записів, ретельно контролюватися та ніколи не використовуватися для повсякденних завдань. Засоби безпеки, які можна вимкнути одним підвищеним обліковим записом, являють собою єдину точку відмови, яку зловмисники активно навчені шукати.
Для звичайних користувачів висновок більш загальний, але не менш важливий: сила ваших власних дозволів облікового запису та паролів, а також обізнаність про те, як програмне забезпечення та запити доступу досягають вашого пристрою, залишається значущою лінією захисту. Такі кампанії програм-вимагачів досягають успіху, знаходячи найслабшу ланку в ланцюзі довіри.
Ключові висновки
- Атаки програм-вимагачів дедалі більше зосереджуються на підвищенні привілеїв, а не лише на початковому доступі, оскільки отримання прав адміністратора домену дозволяє зловмисникам вимикати захисні механізми в усій мережі.
- Організації повинні регулярно переглядати, хто має права адміністратора домену або інші підвищені привілеї, і обмежувати ці облікові записи лише необхідним.
- Засоби безпеки, які можна вимкнути одним скомпрометованим обліковим записом, створюють критичну вразливість; багаторівневий, стійкий до втручання моніторинг є обов'язковим.
- Окремі користувачі та ІТ-команди однаково повинні розглядати підвищення привілеїв, а не лише виявлення шкідливого програмного забезпечення, як ключову частину своєї стратегії безпеки на майбутнє.
Оскільки групи програм-вимагачів, такі як The Gentlemen, продовжують удосконалювати ці методи, поінформованість про те, як відбувається компрометація адміністратора домену, є одним із найпрактичніших кроків, які організації можуть зробити для захисту своїх мереж, перш ніж вторгнення перетвориться на повномасштабний витік даних.
