16.03.2017 - Семь шагов кибератаки: от разведки до ущерба

Что надо знать, чтобы уберечь свою компанию от хакеров Три года назад, в разгар рождественских каникул 70 млн американцев стали жертвами одной из крупнейших кибератак в истории. Выбрав в качестве мишени корпорацию Target, злоумышленники положили начало новой эре в мире киберпреступности. Эксперты по всему миру констатировали непревзойденный профессионализм исполнителей, искусность и организацию атаки на качественно новом уровне.

Еще десятилетие назад хакеры ломали системы, чтобы прославиться, сделать политическое заявление или просто удовлетворить юношеский максимализм. Сегодня это бизнес, у которого существуют свои стандарты. Индустрия развивается катастрофически быстрыми темпами, зачастую опережая практики, существующие на рынке информационной безопасности.

Чтобы взломать систему любой компании вне зависимости от ее масштабов и сферы деятельности, хакерам нужно лишь реализовать последовательность из семи шагов. Впервые она была описана компанией Lockheed Martin пять лет назад и получила название Cyber Kill Chain.

Первый шаг — разведка

Всё начинается с того, что злоумышленник выбирает компанию-жертву. Эту стадию атаки невозможно отследить и проконтролировать. Хакер проводит исследование, чтобы выяснить, насколько велик куш, а также во сколько ему обойдется атака.

​​​​​​​В инкубатор вместо MBA: зачем идти в YCombinator и кому туда нужно Первый пошел? IPO, кибербезопасность и интернет вещей Стоимость атаки напрямую зависит от системы защиты организации. Большинство компаний официально не раскрывают своих поставщиков ИБ-решений, однако иногда информацию можно найти даже в открытых источниках, например на страницах сотрудников компании в социальных сетях. Кропотливый анализ записей, взаимных комментариев и лайков может дать злоумышленнику нужные данные.

Иногда обнаружить необходимую информацию можно в журналистских публикациях, если представитель компании имел неосторожность проговориться. Важно отметить, что самое слабое звено любой системы безопасности — это человек.

Помимо данных о поставщике решений изучение интересов сотрудников в сети дает хакеру информацию, необходимую для подготовки к третьему этапу — составлению «троянского» письма.

Также злоумышленники находятся в постоянном поиске неизвестных уязвимостей в системах корпораций. Уязвимостями «нулевого дня» их называют в случае, когда хакерам удается обнаружить их раньше, чем производителям. Уязвимости могут быть в любом ПО, сервисе, веб-клиенте, а с недавнего времени их постоянно находят в мобильных устройствах, платформах и даже чипах. Так было с чипами Qualcomm, установленными в 900 млн Android-устройств — в них нашли набор уязвимостей, получивших название QuadRooter. Когда в 2016 году была обнаружена уязвимость в системе Windows 10, компании Microsoft понадобилось около трех недель, чтобы изучить проблему, разработать и выпустить обновление. Некоторые уязвимости компании оставляют открытыми годами.

Иногда разведка продолжается и после проникновения хакеров в сеть — так было с американской медицинской страховой компанией Anthem. В 2015 году злоумышленники взломали ее сеть и украли персональные данные, предположительно, 80 млн клиентов. По данным экспертов, хотя об утечке стало известно в феврале 2015 года, хакеры проникли в сеть еще в ноябре 2014 года, оставив там бот, который собирал информацию о внутренних структурах компании.

Второй шаг — выбор оружия

На следующем этапе преступник занимается разработкой или выбором инструментов для атаки. Раньше хакерам необходимо было обладать огромными знаниями, чтобы написать зловред, внедрить его и украсть данные. Сейчас же можно зайти в даркнет и найти все, что необходимо: Exploit kit, готовый ботнет, утилиты для модификации зловредов, модули шифрования, панель управления. Теперь человек без специальных навыков может воспользоваться услугами посредников — в киберпреступной индустрии давно состоялось разделение труда. Существует явление Вымогательство-Как-Услуга (Ransomware as a service), когда разработка вовсе не требуется. Стоимость инструментов начинается от нескольких сотен долларов за простые утилиты и до миллиона за exploite «нулевого дня». Например, недавно был обнаружен Cerber — крупнейшая франшиза Ransomware-as-a-service. Напомню, что ransomware представляет собой зловред, который попадает на компьютер жертвы и шифрует или блокирует на нем все файлы и данные, предлагая заплатить выкуп за дешифровку. Cerber позволяет любым пользователям, не владеющим технологиями, запускать собственные независимые вымогательские атаки. Для организации атак они получают группу выделенных командных серверов (С&С) и комплексный, удобный в использовании интерфейс управления, переведенный на 12 языков мира. Не правда ли, напоминает обычную SaaS-платформу для продаж или клиентского менеджмента?

На сегодняшний день Cerber запустил по всему миру более 160 активных кампаний с общим ежегодным прогнозируемым доходом около 2,3 млн долларов. Каждый день в среднем запускаются 8 новых кампаний, например, в июле 2016 исследователи обнаружили около 150 000 жертв в 201 стране и регионе.

Еще несколько лет назад для разработки технологии взлома требовалось тщательно изучать продукты и искать уязвимости. Сегодня и с этим проще. Хакеры подписаны на обновления софта, и они получают патчи с исправлением уязвимости в числе первых. Злоумышленники делают реверс-инжиниринг, декомпилируют, узнают, где была обнаружена проблема, исследуют брешь и создают эксплойт непосредственно на нее. Либо они используют уже известный эксплойт, возможно с некоторыми модификациями. Среди наиболее известных эксплойт-китов (то есть наборов эксплойтов) — Black Hole (самый распространенный), Angler, Nuclear, Neutrino и т. д.

Зачастую частные и корпоративные пользователи обновляют софт с существенной задержкой, и у злоумышленника всегда есть время для атаки. В этом случае они избавлены от самой тяжелой работы — поиска уязвимости.

Вероятно, существуют хакеры-одиночки, но то, от чего сегодня страдают компании и рядовые пользователи, — это масштабные атаки, проводимые организованной группой. Преступникам нет необходимости быть вместе в одном помещении, как правило, они работают удаленно.

Третий шаг — доставка

На третьем этапе зловред доставляется в сеть организации. Это чаще всего происходит через зараженные письма, которые открывают сами сотрудники.

Узнав, в каком банке обслуживаются сотрудники, какие задачи они регулярно решают, какие СМИ читают и так далее, злоумышленник может составить письмо со зловредом внутри настолько искусно, что даже подготовленный сотрудник откроет его в полной уверенности, что оно адресовано именно ему. Например, письмо может быть замаскировано под сообщение от банка, в котором обслуживается сотрудник, или от отеля, в котором он отдыхал.

Письма могут прийти и сразу всему отделу. В европейском банке был случай, когда одно и то же письмо с «уведомлением о вызове в суд» получили несколько сотрудников финансового отдела. Один из них письмо открыл – атака удалась. Еще один случай, произошедший уже в другом банке: на почту генерального директора пришло письмо с резюме. Оно было составлено настолько правдоподобно, что тот переслал его в HR-отдел. По счастливому стечению обстоятельств в этот момент мы как раз проводили тестирование наших решений, и атаку удалось предотвратить.

Такие письма, как правило, содержат вложение – либо документ, либо архив. Часто используются исполняемые скрипты в архивах. Другой способ доставить зловред – с помощью письма заставить пользователя кликнуть на ссылку. В письме непосредственно нет вложения, но при переходе по ссылке человек оказывается на странице с вредоносом.

В совсем уж исключительных случаях, которые в кино и сериалах мы видим чаще, чем в жизни: зловред проникает в систему организации через физический носитель — злоумышленник подбрасывает «опасную» флешку сотруднику, и рано или поздно тот сам подключает ее к корпоративному компьютеру.

Четвертый шаг — взлом

Взлом — самый короткий этап. Пользователь открывает письмо (или скачивает файл), открывает документ, тем самым активируя вредоносную программу, и злоумышленник получает контроль над зараженной машиной. Его цель на этом этапе — избежать обнаружения и скачать оставшиеся модули. Интересный случай был с группой Buhtrap, которая в 2014– 2015 годах совершала атаки на клиентов российских банков, а потом крала деньги и из самих банков посредством фишинговых писем. В письмах содержался Word-файл, при открытии которого на компьютер попадал Buthrap — уникальный зловред, сочетающий в себе функции шпионажа, сбора данных и доставки других вредоносных программ на зараженную машину.

В подавляющем большинстве случаев получателю письма нужно что-то сделать, чтобы взлом состоялся: открыть документ, иногда даже разрешить макросы в нем, перейти по ссылке. Однако в нашей практике были атаки, для реализации которых даже не требовалось открывать письмо, поскольку уязвимость была в клиенте почты в модуле предварительного просмотра.

В некоторых случаях без взлома можно обойтись. Несколько лет назад мы зарегистрировали атаку, которая началась с запуска генератора ключей для легитимной программы. Пользователь не хотел платить за нее, сам нашел, скачал, запустил утилиту для активации. Вместе с незаконной активацией он получил вирус. Это очень распространенный вектор атаки, множество подобных «таблеток» содержат трояны или другие вредоносы.

Пятый шаг — установка и развертывание зловреда

Следующий этап — это установка и развертывание зловреда. Компьютер уже находится под контролем хакера, который копирует другие модули, создает постоянное присутствие. Интересно, что дополнительные части могут маскироваться во вполне легитимные файлы, например картинки или видео, которые будут скачиваться с рядовых источников. Для системного администратора отличить такую передачу от повседневной активности пользователя очень сложно.

Шестой шаг — полный контроль и управление

Зараженные машины под полным контролем хакера: злоумышленник может отправлять команды, присылать новые модули для атаки. Он получает информацию о том, что это за компьютер, какое ПО на нем установлено, определяется с дальнейшими шагами атаки: будет это хищение данных, заражение других компьютеров в сети, перехват доступа к интернет-банку или промышленным системам и так далее. На самом деле дальнейшие действия ограничиваются исключительно фантазией и целями злоумышленника, а незримое «присутствие» длится месяцами.

Седьмой шаг — ущерб

На финальном этапе хакер переходит к достижению своих целей — начинает шантажировать пользователя, скачивает нужные ему данные, переводит деньги.

В качестве примера того, как злоумышленники могут получить контроль над всей сетью, подходит еще один случай из нашей практики. Жертвой стала организация, которая продает медицинское оборудование. После того как сотрудник «впустил» зловред на компьютер, тот собрал информацию об устройстве, скачал и установил дополнительные модули. Модули были спрятаны в фотографиях, размещенных на легальном сайте. Один из этих модулей заставил ноутбук работать медленно. С помощью Remote Desktop (удаленный рабочий стол) к компьютеру подключился системный администратор из головного офиса, чтобы выяснить, в чем дело. Злоумышленник получил имя пользователя админа и hash его пароля. Используя атаку PassTheHash, злоумышленник смог самостоятельно получить доступ к компьютерам сети, которая, к слову, не была защищена от атак изнутри, и распространить на них зловред. Сотни компьютеров были заражены и превращены в ботнет из подконтрольных хакеру компьютеров-зомби.

Создание ботнета — часто используемый сценарий в масштабных DDoS-атаках. Опасность заражения ботами состоит в том, что они могут годами находиться в сети, не проявляя никакой активности, и об их существовании даже не подозревают ИТ-службы компании. Обнаружить себя они могут, если командный центр даст им команду отправки запроса на какой либо сервер и службы безопасности обнаружат подозрительный исходящий трафик. В этот момент бот может участвовать в DDoS-атаке или сливать своим хозяевам внутренние данные компании, которые он собирал все это время.

В других случаях цель хакеров — контроль сети и управление ею, как это было в атаках на украинские электростанции. Тогда в результате атаки в декабре 2015-го более миллиона жителей Ивано-Франковской области остались без электричества.

Наиболее растущей разновидностью зловредов является вымогательское ПО. Если шантажистам удалось проникнуть в сеть компании, перед руководством встает серьезная проблема: с одной стороны, есть соблазн заплатить и отделаться от преступников поскорее. С другой стороны, если компания идет на условия шантажистов, она косвенно поощряет киберпреступников к такому виду атак.

Важно отметить, что не в каждой атаке присутствуют все семь этапов. И, напротив, в некоторых случаях какие-либо этапы могут повторяться по многу раз. В настоящее время наиболее эффективным методом борьбы с угрозами является многоуровневая защита, способная остановить атаку на разных этапах. Также обязательным условием безопасности данных компании является использование легального ПО.

Постоянный адрес материала - Семь шагов кибератаки: от разведки до ущерба