Атакующие — лучшие друзья SOHO

📌 Эксплуатация группами, спонсируемыми государством: Спонсируемая Китайской Народной Республикой (КНР) Volt Typhoon group активно компрометирует маршрутизаторы SOHO, используя проблемы ПО, который затем используются в качестве стартовых площадок для дальнейшей компрометации критически важных объектов инфраструктуры США.

📌 Воздействие на критически важную инфраструктуру: Взломанные маршрутизаторы SOHO представляют серьёзную угрозу, поскольку они могут использоваться для распространения внутри сетей и дальнейшего подрыва критически важных секторов инфраструктуры в США, включая связь, энергетику, транспорт и водоснабжение.

📌 ZuoRAT Campaign: Выявлена ZuoRAT кампания с использованием заражённых маршрутизаторов SOHO, где задействован троян, предоставляющий удалённый доступ и позволяющий сохранять незаметное присутствие в целевых сетях и для сбора конфиденциальную информацию.

📌 Формирована ботнета: скомпрометированные маршрутизаторы могут быть задействованы в ботнетах, крупных сетях заражённых устройств, используемых для запуска распределённых атак типа «отказ в обслуживании» (DDoS), кампаний рассылки спама и других вредоносных действий.

📌 Атаки типа «MITM»: использование уязвимости в маршрутизаторах для перехвата данных, проходящих по сети, и манипулирования ими, что приводит к утечке данных, краже личных данных и шпионажу.

TTPs

📌 Вредоносное ПО KV Botnet: Volt Typhoon внедрили вредоносное ПО KV Botnet в устаревшие маршрутизаторы Cisco и NETGEAR SOHO, которые больше не поддерживаются исправлениями безопасности или обновлениями ПО.

📌 Сокрытие источника: совершая действия через маршрутизаторы SOHO, возможно скрывать происхождение действий из КНР, что усложняет обнаружение и атрибуцию атак.

📌 Нацеливание на электронные письма: замечено, что Volt Typhoon нацеливались на электронные письма ключевых сетевых и ИТ-сотрудников, чтобы получить первоначальный доступ к сетям.

📌 Использование мульти прокси-серверов: для C2-инфраструктуры участники используют multi-hop прокси-серверы, обычно состоящие из VPS или маршрутизаторов SOHO.

📌 Методы LOTL: вместо того, чтобы полагаться на вредоносное ПО для выполнения после компрометации, Volt Typhoon использовали встроенные инструменты и процессы в системах, стратегию, известную как LOTL, для закрепления и расширения доступа к сетям жертв.

Воздействие и ответные меры

📌 Нарушение работы критически важной инфраструктуры: Эксплуатация маршрутизаторов представляет значительную угрозу, поскольку потенциально может нарушить работу основных служб, предоставляемых секторами критически важной инфраструктуры.

📌 Федеральный ответ: ФБР и Министерство юстиции провели операции по нарушению работы ботнета KV путем удаленного удаления вредоносного ПО с заражённых маршрутизаторов и принятия мер по разрыву их соединения с ботнетом.

📌 Компромиссный ответ: Volt Typhoon продемонстрировал сложность защиты от госкампаний кибершпионажа и решающую роль сотрудничества между правительством, частным сектором и международными партнёрами. Подчёркивалась необходимость комплексных стратегий кибербезопасности, которые включают защиту устройств, обмен информацией об угрозах и информирование общественности. Поскольку киберугрозы продолжают развиваться, необходимы и коллективные усилия по защите критически важной инфраструктуры и поддержанию целостности глобальных сетей.

📌 Государственно-частное партнёрство: Компромиссные меры в ответ на Volt Typhoon предполагали тесное сотрудничество между правительственными учреждениями, включая ФБР и CISA, и организациями частного сектора. Это партнёрство способствовало обмену информацией об угрозах, техническими индикаторами компрометации (IoC) и передовыми практиками по смягчению последствий.

📌 Анализ прошивки и исправление: Производители затронутых маршрутизаторов SOHO были предупреждены об уязвимостях, используемых участниками Volt Typhoon. Были предприняты усилия по анализу вредоносного ПО, пониманию методов эксплуатации и разработке исправлений для устранения уязвимостей.

📌 Меры по смягчению последствий: ФБР уведомляет владельцев или операторов маршрутизаторов SOHO, доступ к которым был получен во время операции «по демонтажу». Меры по смягчению последствий, санкционированные судом, носят временный характер, и перезапуск маршрутизатора без надлежащего смягчения последствий сделает устройство уязвимым для повторного заражения.

Общественный и потребительский спрос на безопасность

В современную цифровую эпоху безопасность сетевых устройств стала первостепенной заботой как для населения, так и для бизнеса. Такая повышенная осведомлённость обусловлена растущим числом громких кибератак и утечек данных, которые подчеркнули уязвимости, присущие подключённым устройствам. В результате растёт спрос со стороны потребителей и общественности на то, чтобы производители уделяли приоритетное внимание безопасности в своих продуктах.

Факторы, определяющие спрос

📌 Повышение осведомлённости о киберугрозах: Широкая общественность и предприятия становятся все более осведомлёнными о рисках, связанных с киберугрозами, включая потенциальные финансовые потери, нарушения конфиденциальности и сбои в работе сервисов.

📌 Давление со стороны регулирующих органов: Правительства и регулирующие органы по всему миру внедряют более строгие правила и стандарты кибербезопасности, вынуждая производителей улучшать функции безопасности своих продуктов.

📌 Экономические последствия кибератак: Экономические последствия кибератак, включая стоимость восстановления и влияние на репутацию бренда, сделали безопасность критически важным фактором для покупателей при выборе продуктов.

📌 Взаимосвязанность устройств: Распространение устройств Интернета вещей и взаимосвязанность цифровых экосистем усилили потенциальное воздействие взломанных устройств, сделав безопасность приоритетом для обеспечения целостности личных и корпоративных данных.

Ожидания клиентов

📌 Встроенные функции безопасности: теперь клиенты ожидают, что устройства будут поставляться с надёжными встроенными функциями безопасности, которые защищают от широкого спектра угроз, не требуя обширных технических знаний для настройки.

📌 Регулярные обновления системы безопасности: ожидается, что производители будут предоставлять регулярные и своевременные обновления системы безопасности для устранения новых уязвимостей по мере их обнаружения.

📌 Прозрачность: Клиенты требуют от производителей прозрачности в отношении безопасности их продуктов, включая чёткую информацию об известных уязвимостях и шагах, предпринимаемых для их устранения.

📌 Простота использования: Клиенты, требующие высокого уровня безопасности, также ожидают, что эти функции будут удобными для пользователя и не повлияют на функциональность или производительность устройства.

Ответственность производителей (Security by design)

📌 Автоматические обновления: Реализация механизмов автоматического обновления встроенного программного обеспечения для обеспечения того, чтобы на маршрутизаторах всегда работала последняя версия с самыми последними исправлениями безопасности. Это снижает зависимость от ручного обновления устройств.

📌 Цифровая подпись: Обеспечение цифровой подписи обновлений для проверки их подлинности и целостности. Это предотвращает установку вредоносных обновлений встроенного ПО, которые могут скомпрометировать маршрутизатор.

📌 Безопасный веб-интерфейс управления: Размещение веб-интерфейса управления на портах локальной сети и повышение его безопасности для обеспечения безопасного использования при доступе через Интернет. Это включает в себя внедрение надёжных механизмов аутентификации и шифрования.

📌 Контроль доступа: Ограничение доступа к веб-интерфейсу управления маршрутизатором со стороны локальной сети по умолчанию и предоставление опций для безопасного включения удалённого управления при необходимости.

📌 Надёжные пароли по умолчанию: Поставка маршрутизаторов с надёжными уникальными паролями по умолчанию для предотвращения несанкционированного доступа. Рекомендуется пользователям менять эти пароли во время первоначальной настройки.

📌 Шифрование: Использование шифрования для веб-интерфейса управления для защиты связи между маршрутизатором и пользователем.

📌 Аутентификация: Реализация механизмов надёжной аутентификации, включая возможность многофакторной аутентификации, для обеспечения доступа к интерфейсу управления маршрутизатором

📌 Безопасные настройки по умолчанию: маршрутизаторы по умолчанию поставляются с безопасными конфигурациями, такими как надёжные уникальные пароли, и отключены ненужные службы. Пользователей следует предостеречь от небезопасных конфигураций, если они решат переопределить значения по умолчанию.

📌 Раскрытие уязвимостей и исправление: Разработка четкой, ответственной политики раскрытия уязвимостей и своевременное предоставление исправлений. Это включает в себя участие в программе CVE по отслеживанию и раскрытию уязвимостей.

📌 Поддержка по окончании срока службы: Решающее значение имеет чёткое информирование о политике по окончании срока службы (EOL) для продуктов и предоставление поддержки и обновлений на протяжении всего жизненного цикла продукта. Для устройств, которые больше не поддерживаются, производителям следует предоставить рекомендации по безопасной утилизации или замене.