დღეს ინფორმაციული უსაფრთხოება (დისტანციური სწავლების მაგისტრის ხარისხი ალმატიში) მნიშვნელოვან თემად იქცევა მათთვის, ვისაც სურს არა მხოლოდ სამუშაო სადგურების უსაფრთხოების გაგება, არამედ სერვერის შეტევების მოგერიების გზებიც. Cisco Talos-მა გამოავლინა ჩინურენოვანი ჯგუფის UAT-10147 საქმიანობა, რომელიც მასიურად ესხმის თავს Windows-ის და Linux-ის ვებ სერვერებს. გარდა ამისა, დამნაშავეები ხელოვნური ინტელექტის ინსტრუმენტებს იყენებენ დაზვერვისთვის, ექსპლოიტების ტესტირებისთვის და ჰაკერული თავდასხმების შემდგომი ავტომატიზაციისთვის. შედეგად, ვებსაიტზე მარტივი დაუცველობა შეიძლება გახდეს კომპრომეტირების გრძელი ჯაჭვის საწყისი წერტილი.
რატომ არის მნიშვნელოვანი ინფორმაციული უსაფრთხოების მაგისტრის ხარისხი ალმატიში UAT-10147 კამპანიის შემდეგ?
პირველ რიგში, UAT-10147 საინტერესოა არა მხოლოდ მავნე პროგრამების კოლექციით. ჯგუფი აჩვენებს, თუ როგორ იცვლება თავდასხმების ლოგიკა. ადრე ცნობილი დაუცველობების ფართომასშტაბიანი ექსპლუატაცია მოითხოვდა ვრცელ ფიზიკურ მუშაობას. ახლა კი ამ სამუშაოს ნაწილს ხელოვნური ინტელექტის შემქმნელები, სკრიპტები და ავტომატიზირებული ჩარჩოები იკავებენ.
მკვლევრებმა სერვერზე აღმოაჩინეს ღია დირექტორია, რომელიც ერთ-ერთ კომპრომეტირებულ მანქანასთან კომუნიკაციას ახორციელებდა. ის შეიცავდა დაახლოებით 170,000 URL-ის სიას. მოხერხებულობისთვის, თავდამსხმელებმა ის 17 ფაილად დაყვეს, რომელთაგან თითოეული დაახლოებით 10,000 URL-ს შეიცავდა. საერთო ჯამში, ეს უფრო სამრეწველო მასშტაბის შეტევას ჰგავს, ვიდრე ერთჯერად, ხელით შეტევას.
სამიზნეები მთელ მსოფლიოში იყო განლაგებული, ყველაზე სამიზნე ქვეყნები იყო ბრაზილია, ბოლივია, ჩინეთი, კანადა და ვიეტნამი. ყველაზე ხშირად გამოყენებული URL მისამართები იყო ამერიკის შეერთებული შტატები, ინდოეთი, გაერთიანებული სამეფო, გერმანია და ნიდერლანდები. სექტორებიც განსხვავდებოდა: განათლება, მედია, ტექნოლოგიები და სათამაშო ინდუსტრია. შესაბამისად, რისკი არ არის სპეციფიკური რომელიმე კონკრეტული ინდუსტრიისთვის.
თავდასხმის ძირითადი იდეა მარტივია. ჯგუფი იყენებს საჯაროდ ცნობილ დაუცველობებს, ახორციელებს კოდის დისტანციურად შესრულებას და შემდეგ უშვებს ავტომატურ სკრიპტს. ამის შემდეგ, ისინი აინსტალირებენ უკანა კარს, RAT-ს, პრივილეგიების ესკალაციის ინსტრუმენტებს და მავნე პროგრამას SEO თაღლითობის ან მონაცემთა ქურდობისთვის.
რა გააკეთა UAT-10147 ჯგუფმა?
მარტივად რომ ვთქვათ, დამნაშავეები ეძებდნენ დაუცველ ვებ სერვერებსა და IIS სერვისებს. შემდეგ ისინი იყენებდნენ მზა ექსპლოიტების ნაკრებებს. ანგარიშში ნახსენებია Metasploit, ysoserial, PentestGPT, DeepAudit და რამდენიმე პრივილეგიების ესკალაციის ექსპლოიტი. ეს ნიშნავს, რომ ჯგუფმა ყველა ნაბიჯი ნულიდან არ გამოიგონა.
Windows-ის ქსელი იყენებდა პაკეტურ სკრიპტებს, certutil-ს, EfsPotato-ს და Quasar RAT-ს. შემდეგ თავდამსხმელებმა Microsoft Defender-ს დაამატეს გამონაკლისები, წაშალეს საწყისი დატვირთვები და შექმნეს მუდმივი სკრიპტები მატყუარა „Google Chrome Start“ დავალების მეშვეობით. მათ ასევე შეძლეს BadIIS-ის და Gh0stCringe-ის ინსტალაცია.
სქემა ასევე მუდმივ რეჟიმში ჩანდა Linux სერვერებზე. თავდაპირველი წვდომის შემდეგ, თავდამსხმელებმა გამოიყენეს ცნობილი დაუცველობები, მათ შორის CVE-2022-0847, CVE-2021-3156 და სხვა ძველი პრობლემები. root წვდომის შემდეგ გამოჩნდა Noodle RAT, Meterpreter და SPECTRE.
კიბერუსაფრთხოების მომავალი პროფესიონალებისთვის მნიშვნელოვანია იმის დანახვა, თუ რა ქმედებები მეორდება თითქმის ყველა ჯაჭვში:
- სერვერზე საჯარო დაუცველობის ძიება;
- დისტანციური კოდის შესრულების მოპოვება;
- უფლებების ესკალაცია SYSTEM-ზე ან root-ზე;
- მუდმივი წვდომისთვის უკანა კარების დაყენება;
- კვალის დამალვა და დამცავი ხელსაწყოების გვერდის ავლა.
აღსანიშნავია, რომ ხელოვნური ინტელექტი სრულად არ ცვლის ჰაკერს. ის ხელს უწყობს რუტინული ამოცანების დაჩქარებას: ექსპლოიტების დახვეწას, ლოგიკის გადამოწმებას, დოკუმენტაციის შედგენას და ექსპლუატაციის შემდგომი სცენარების შექმნას. სწორედ ამიტომ, ალმატიში ინფორმაციული უსაფრთხოების დისტანციურმა სწავლებამ უნდა ახსნას არა მხოლოდ ინსტრუმენტების სახელწოდებები, არამედ ისიც, თუ როგორ აერთიანებენ ისინი მოქმედ შეტევას.
ჰაკერული შეტევის ქარხანამდე: ინფორმაციული უსაფრთხოების მაგისტრის ხარისხი ალმატიში
UAT-10147-ის ისტორია ნათლად აჩვენებს, თუ რატომ აღარ მუშაობს ძველი მიდგომა „ყველაზე ცუდი CVE-ების მოგვიანებით დახურვის“. თავდამსხმელები არ ელოდებიან იშვიათ ნულოვანი დღის დაუცველობას. ისინი იღებენ ცნობილ პრობლემებს, ქმნიან სამიზნეების უზარმაზარ სიას და ახორციელებენ ავტომატიზირებულ შეტევებს. თუ სერვერი არ განახლდება, ის დაუცველი ხდება.
განსაკუთრებით საინტერესოა BadIIS. გამოყენებული იყო მისი ვარიანტი, რომელიც მუშაობს მავნე პროგრამული უზრუნველყოფის, როგორც სერვისის მოდელზე და გვხვდება რამდენიმე ჩინურენოვან ჯგუფში. ეს ნიშნავს, რომ მავნე პროგრამული უზრუნველყოფის ინფრასტრუქტურაც სერვისად იქცა. ზოგი ავითარებს ინსტრუმენტს, ზოგი ქირაობს ან ყიდულობს მას, ზოგი კი საკუთარ სქემებში იყენებს.
SPECTRE კიდევ უფრო სერიოზულია. ეს არის C-ზე დაფუძნებული უკანა კარი, რომლის ვერსიებია Windows-ისა და Linux-ისთვის. ის C2-თან კომუნიკაციას ახდენს HTTPS-ის საშუალებით, იყენებს ობსუქციას და მხარს უჭერს ათობით ბრძანებას. Windows-ის ვარიანტს შეუძლია ეკრანის ანაბეჭდების გადაღება, კლავიშების დაჭერა, ფაილების მანიპულირება, shell ბრძანებების გაშვება და ფაილების ჩამოტვირთვა.
ყველაზე შემაშფოთებელი ნაწილი BYOVD-ს უკავშირდება. SPECTRE იყენებს დაუცველ RTCore64.sys და DBUtil_2_3.sys დრაივერებს გაუმჯობესებული შესაძლებლობების და ბრმა EDR-ის მისაღებად. მავნე პროგრამა ხელს უშლის ბირთვის უკუკავშირს, რაც უსაფრთხოების პროდუქტებს ნაკლებად ახერხებს პროცესების, ნაკადების შექმნისა და სურათების ჩატვირთვის ამოცნობას. SOC-ისთვის ეს ჰგავს შუქის გამორთვას ოთახში, სადაც ვიღაც უკვე დადის.
ამიტომ, მნიშვნელოვანია კარგად გესმოდეთ, თუ როგორ მუშაობს სერვერი, როგორ გამოიყურება ნორმალური პროცესები და რომელი მოვლენები არ უნდა მოხდეს. ამიტომ, ალმატიში ტექნიკური ინფორმაციული უსაფრთხოების ტრენინგი სასარგებლოა მათთვის, ვისაც სურს დაიცვას არა მხოლოდ აბსტრაქტული ქსელი, არამედ რეალური Windows და Linux სისტემები.
რა შემოწმებები უნდა ჩაატაროს გუნდმა ახლა?
პირველ რიგში, ღირს თქვენი ვებ სერვერების ინვენტარიზაციით დაწყება. თქვენ არ შეგიძლიათ დაიცვათ ის, რაც სიაში არ არის. მნიშვნელოვანია იცოდეთ თქვენი IIS, Linux ჰოსტინგი, CMS, საკონტროლო პანელები, სატესტო საიტები და მემკვიდრეობითი პორტალები. ხშირად, ეს არის დავიწყებული სერვისი, რომელიც ფართოდ გამოყენების კარიბჭედ იქცევა.
შიდა აუდიტის ჩატარებამდე მოსახერხებელია მოქმედებების თანმიმდევრობის ჩაწერა:
- შეაგროვეთ გარე ვებ სერვერებისა და აპლიკაციების სია.
- შეამოწმეთ ცნობილი დაუცველობები CVE ID-ებით Zimbra-ს, Nacos-ის, Telerik-ის და IIS კომპონენტებისთვის.
- მოძებნეთ certutil, ysoserial, Metasploit და საეჭვო პაკეტური ფაილების გამოყენება.
- დააყენეთ შეტყობინებები საეჭვო დაგეგმილი დავალებების შექმნის შესახებ.
- გადახედეთ Microsoft Defender-ში გამონაკლისების დამატების მცდელობებს.
- ცნობილი დაუცველი დრაივერების დაბლოკვა.
- Linux სერვერები ცალ-ცალკე დააკვირდით rootkit-ების ნიშნებს.
ეს შემთხვევა საკმაოდ მოსახერხებელია საგანმანათლებლო ან კვლევითი პრაქტიკისთვის. ის საშუალებას იძლევა შესწავლილ იქნას ცნობილი CVE-ებისა და EDR-ების ექსპლუატაცია BYOVD-ის, Linux rootkit-ების, HTTPS C2-ისა და SaaS-ის სახით შენიღბული ექსფილტრაციის მეშვეობით. ამიტომ, ალმატიში ინტერნეტ ინფორმაციული უსაფრთხოების კვლევა შეიძლება დაფუძნდეს ასეთ რეალურ სცენარებს და არა მხოლოდ მშრალ თეორიას.
მთავარი დასკვნა მარტივია: სერვერებზე თავდასხმები უფრო სწრაფი და ფართოდ გავრცელებული ხდება. UAT-10147-მა არ აჩვენა არც ერთი მაგიური ტექნიკა, მაგრამ აჩვენა ავტომატიზაციის, ძველი CVE-ებისა და ხელოვნური ინტელექტის მხარდაჭერის კომბინაცია. თუ კომპანია განაახლებს თავის სერვერებს „გარკვეული დროის შემდეგ“, თავდამსხმელს შეუძლია მათი ტესტირება დღესვე.
SEDICOMM უნივერსიტეტის გუნდი : Cisco აკადემია , Linux-ის პროფესიული ინსტიტუტი , Python-ის ინსტიტუტი.