כיום, אבטחת מידע (תואר שני בלמידה מרחוק באלמטי) הופכת לנושא חשוב עבור אלו שרוצים להבין לא רק אבטחת תחנות עבודה אלא גם כיצד להדוף התקפות שרתים. סיסקו טאלוס חשפה את פעילותה של הקבוצה בשפה הסינית UAT-10147, אשר תוקפת באופן מסיבי שרתי אינטרנט של Windows ו-Linux. יתר על כן, פושעים משתמשים בכלי בינה מלאכותית לצורך סיור, בדיקות פרצות ואוטומציה לאחר פריצה. כתוצאה מכך, פגיעות פשוטה באתר אינטרנט יכולה להפוך לנקודת כניסה לשרשרת ארוכה של פריצות.
מדוע תואר שני באבטחת מידע באלמטי חשוב לאחר קמפיין UAT-10147?
ראשית, UAT-10147 מעניין לא רק בזכות אוסף התוכנות הזדוניות שלו. הקבוצה מדגימה כיצד עצם ההיגיון של התקפות משתנה. בעבר, ניצול בקנה מידה גדול של פגיעויות ידועות דרש עבודה ידנית נרחבת. כעת, חלק מהעבודה הזו עוברת לידי מומחים להצעות בינה מלאכותית, סקריפטים ומסגרות אוטומטיות.
חוקרים מצאו ספרייה פתוחה בשרת שתקשרה עם אחת המכונות שנפרצו. היא הכילה רשימה של כ-170,000 כתובות URL. לשם נוחות, התוקפים חילקו אותה ל-17 קבצים, שכל אחד מהם הכיל כ-10,000 כתובות URL. בסך הכל, זה נראה יותר כמו מתקפה בקנה מידה תעשייתי מאשר מתקפה ידנית אחת.
המטרות היו ממוקמות בכל רחבי העולם, כאשר המדינות המכוונות ביותר היו ברזיל, בוליביה, סין, קנדה ווייטנאם. כתובות ה-URL המובילות היו ארצות הברית, הודו, בריטניה, גרמניה והולנד. המגזרים גם הם מגוונים: חינוך, מדיה, טכנולוגיה ומשחקים. לכן, הסיכון אינו ספציפי לתעשייה מסוימת.
הרעיון הבסיסי של המתקפה הוא פשוט. הקבוצה מנצלת פגיעויות ידועות לציבור, משיגה ביצוע קוד מרחוק, ולאחר מכן משיקה סקריפט אוטומטי. לאחר מכן, הם מתקינים דלת אחורית, RAT, כלי הסלמת הרשאות ותוכנות זדוניות לצורך הונאת SEO או גניבת נתונים.
מה עשתה קבוצת UAT-10147?
במילים פשוטות, הפושעים חיפשו שרתי אינטרנט ושירותי IIS פגיעים. לאחר מכן הם השתמשו בערכות פרצות מוכנות מראש. הדו"ח מזכיר את Metasploit, ysoserial, PentestGPT, DeepAudit, וכמה פרצות להגדלת הרשאות. משמעות הדבר היא שהקבוצה לא המציאה כל שלב מאפס.
רשת Windows השתמשה בסקריפטים של אצווה, certutil, EfsPotato ו-Quasar RAT. לאחר מכן, התוקפים הוסיפו אי הכללות ל-Microsoft Defender, מחקו את המטענים הראשוניים ובנו גישה תקינה באמצעות משימת "Google Chrome Start" מטעה. הם גם הצליחו להתקין את BadIIS ואת Gh0stCringe.
התוכנית נראתה כרוכה בעמידות גם בשרתי לינוקס. לאחר הגישה הראשונית, התוקפים ניצלו פגיעויות ידועות, כולל CVE-2022-0847, CVE-2021-3156, ובעיות ישנות אחרות. לאחר גישת root, הופיעו Noodle RAT, Meterpreter ו-SPECTRE.
עבור אנשי מקצוע מתחילים בתחום אבטחת הסייבר, חשוב לראות אילו פעולות חוזרות על עצמן כמעט בכל שרשרת:
- חפש פגיעות ציבורית בשרת;
- קבלת ביצוע קוד מרחוק;
- הסלמה של זכויות ל-SYSTEM או ל-root;
- התקנת דלתות אחוריות לגישה מתמשכת;
- הסתרת עקבות ועקיפת כלי הגנה.
ראוי לציין שבינה מלאכותית אינה מחליפה לחלוטין האקר. היא מסייעת להאיץ משימות שגרתיות: שיפור פרצות, אימות לוגיקה, כתיבת תיעוד והרכבת תרחישים לאחר ניצול. זו הסיבה שלמידה מרחוק בנושא אבטחת מידע באלמטי צריכה להסביר לא רק את שמות הכלים אלא גם כיצד הם משתלבים יחד ליצירת מתקפה תקינה.
מפריצה למפעל תקיפות: תואר שני באבטחת מידע באלמטי
סיפורו של UAT-10147 מדגים בבירור מדוע הגישה הישנה של "סגירת אירועי ה-CVE הגרועים ביותר מאוחר יותר" כבר לא עובדת. תוקפים לא מחכים לפגיעות נדירה של יום אפס. הם לוקחים בעיות ידועות, מרכיבים רשימה ענקית של מטרות ומשגרים התקפות אוטומטיות. אם השרת לא מעודכן, הוא הופך לפגיע.
BadIIS מעניין במיוחד. נעשה שימוש בגרסה שלו הפועלת על פי מודל תוכנה זדונית כשירות ונמצאת במספר קבוצות דוברות סינית. משמעות הדבר היא שגם תשתית התוכנה הזדונית הפכה לשירות. חלקם מפתחים את הכלי, אחרים שוכרים או רוכשים אותו, ואחרים משתמשים בו בתוכניות משלהם.
SPECTRE רציני אף יותר. זוהי דלת אחורית מבוססת C עם גרסאות עבור Windows ו-Linux. היא מתקשרת עם C2 דרך HTTPS, משתמשת באובוסקציה ותומכת בעשרות פקודות. גרסת Windows יכולה לצלם צילומי מסך, לכתוב הקשות מקשים, לתפעל קבצים, להריץ פקודות מעטפת ולהוריד קבצים.
החלק המטריד ביותר קשור ל-BYOVD. SPECTRE מנצלת את מנהלי ההתקנים הפגיעים RTCore64.sys ו-DBUtil_2_3.sys כדי להשיג יכולות משופרות ו-EDR עיוור. התוכנה הזדונית מפריעה ל-callbacks של הליבה, מה שהופך מוצרי אבטחה לפחות מסוגלים לזהות יצירת תהליכים והלידים וטעינת תמונות. עבור SOC, זה כמו לכבות את האורות בחדר שבו מישהו כבר הולך.
לכן, חשוב להבין היטב כיצד שרת פועל, כיצד נראים תהליכים רגילים ואילו אירועים לא אמורים להתרחש. לכן, הכשרה באבטחת מידע טכנית באלמטי שימושית למי שרוצה להגן לא רק על רשת אבסטרקטית, אלא על מערכות Windows ו-Linux אמיתיות.
אילו בדיקות על הצוות לבצע כעת?
קודם כל, כדאי להתחיל עם מלאי של שרתי האינטרנט שלכם. אי אפשר להגן על משהו שלא נמצא ברשימה. חשוב להכיר את ה-IIS, אירוח הלינוקס, מערכת ניהול התוכן (CMS), לוחות הבקרה, אתרי הבדיקה ופורטלים מדור קודם. לעתים קרובות, מדובר בשירות נשכח שהופך לשער לניצול נרחב.
לפני ביקורת פנימית, נוח לתעד את סדר הפעולות:
- אסוף רשימה של שרתי אינטרנט ויישומים חיצוניים.
- בדוק פגיעויות ידועות באמצעות מזהי CVE עבור רכיבי Zimbra, Nacos, Telerik ו-IIS.
- חפש שימוש בקבצי certutil, ysoserial, Metasploit וקבצי אצווה חשודים.
- הגדר התראות עבור יצירת משימות מתוזמנות חשודות.
- סקירת ניסיונות להוספת אי הכללות ב-Microsoft Defender.
- חסום מנהלי התקנים פגיעים ידועים.
- יש לנטר שרתי לינוקס בנפרד לאיתור סימנים של רוטקיטים.
מקרה זה נוח למדי לפרקטיקה חינוכית או מחקרית. הוא מאפשר לחקור את ניצולם של CVEs ו-EDRs ידועים באמצעות BYOVD, rootkits של לינוקס, HTTPS C2, וחילוץ במסווה של SaaS. לכן, מחקר אבטחת מידע באינטרנט באלמטי יכול להתבסס על תרחישים כאלה מהעולם האמיתי, ולא רק על תיאוריה יבשה.
המסקנה העיקרית פשוטה: מתקפות שרתים הופכות למהירות ונפוצות יותר. UAT-10147 לא הדגים אף טכניקת קסם אחת, אך הוא כן הדגים את השילוב של אוטומציה, קוד גישה ישן (CVE) ותמיכה בבינה מלאכותית. אם חברה מעדכנת את השרתים שלה "מתישהו מאוחר יותר", תוקף יכול לבדוק אותם עוד היום.
צוות אוניברסיטת SEDICOMM : אקדמיית סיסקו , המכון המקצועי לינוקס , מכון פייתון.