Według Cisco Talos kampania ClickFix wykorzystuje publiczny arkusz Google i Google Visualization API do sterowania, a ofiary skłaniano do wklejania JavaScript lub użycia rozszerzenia Tampermonkey. Analiza opublikowana 8 września daje powód, by kontrolę rozszerzeń i sesji przeglądarki uwzględnić osobno w firmowym modelu ryzyka.

Czy informacja, że przeglądarka łączy się z usługą Google, wystarcza do uznania takiego działania za bezpieczne? W opisanej kampanii publiczny arkusz tej usługi był elementem sterowania. Proponujemy więc przy przeglądzie bezpieczeństwa postawić obok nazwy usługi pytanie o czynność użytkownika: czy otrzymał instrukcję wklejenia JavaScript albo użycia rozszerzenia? Taka kotwica pozwala odnieść opis do własnych zasad pracy bez zakładania, że firma stała się ofiarą. Zamiast kończyć rozmowę na dopuszczeniu usług Google, sprawdźmy, co firma zaleca osobie proszonej o wykonanie kodu w przeglądarce. Tę decyzję użytkownika uczyńmy przedmiotem przeglądu instrukcji i odpowiedzialności.

Arkusz Google sterował kampanią

Jak podaje Cisco Talos, sterowanie kampanią korzystało z publicznego arkusza Google oraz Google Visualization API. Drugi fakt dotyczy sposobu nakłaniania ofiar do działania: wklejania JavaScript lub użycia Tampermonkey. Razem te obserwacje wyznaczają zakres przeglądu: kod w sesji przeglądarki, rozszerzenia oraz połączenia z usługami chmurowymi.

W ocenie ryzyka proponujemy rozdzielić zgodę na korzystanie z usługi Google od zgody na wykonanie otrzymanej instrukcji. Dla każdej z tych decyzji zapiszmy osobne uzasadnienie. Przy kodzie JavaScript zapytajmy o jego pochodzenie, cel i osobę zatwierdzającą użycie. Przy rozszerzeniu sprawdźmy powód instalacji i działanie, do którego ma służyć. Samą nazwą usługi nie zamykajmy oceny całej instrukcji.

Zgodę na korzystanie z usług Google oddzielmy od zgody na wklejenie kodu do przeglądarki.

W przeglądzie ruchu do usług Google zacznijmy od ustalenia, jakie informacje firma rzeczywiście ma do dyspozycji. Poprośmy o wskazanie dostępnego zapisu połączenia i opisanie, na jakie pytania pozwala odpowiedzieć. Jeśli na tej podstawie nie da się ocenić związku z działaniem użytkownika, zapiszmy ograniczenie. Nie przedstawiajmy samego odnotowania połączenia jako potwierdzenia bezpieczeństwa sesji.

Instrukcja wklejenia JavaScript wymaga drogi zgłoszenia

Z dostępnych faktów nie ustalimy, jakie procedury obowiązywały ofiary ani czy naruszono wewnętrzne zasady. Nie przypisujmy im więc zaniedbań. Zderzenie procedury z praktyką przeprowadźmy we własnej organizacji: przeczytajmy instrukcję obsługi zgłoszeń i sprawdźmy, czy obejmuje prośbę o wklejenie JavaScript albo użycie rozszerzenia przeglądarki.

Za punkt kontrolny przyjmijmy moment przed wykonaniem takiej prośby. Instrukcja powinna wskazywać, komu przekazać otrzymany materiał i kto ma ocenić zasadność użycia kodu. Dla pracownika przygotujmy prostą zasadę: wstrzymaj wklejanie JavaScript do czasu weryfikacji. W zgłoszeniu poprośmy o treść instrukcji i informację o jej pochodzeniu, bez wymagania od odbiorcy samodzielnej analizy kodu.

Przy przeglądzie rozszerzeń uwzględnijmy Tampermonkey, jeśli znajduje się w firmowym wykazie. Sprawdźmy zapisany cel jego użycia oraz osobę odpowiedzialną za ocenę tego zastosowania. Nie traktujmy obecności nazwy rozszerzenia jako dowodu udziału w kampanii. Wynikiem przeglądu ma być decyzja dotycząca konkretnego sposobu użycia, z odnotowaniem pytań, których dostępna dokumentacja nie rozstrzyga.

Sesja przeglądarki potrzebuje właściciela ryzyka

Dla zarządzających wniosek redakcyjny brzmi: rozszerzenia i sesja przeglądarki dostają osobne miejsce w modelu ryzyka. Opis Cisco Talos wykorzystajmy jako punkt wyjścia do rozmowy o odpowiedzialności. Ustalmy, kto zatwierdza rozszerzenia, kto odbiera zgłoszenia instrukcji wklejania kodu i kto ocenia dostępne informacje o ruchu do usług chmurowych.

Przegląd bezpieczeństwa przeglądarki powinien wskazać odpowiedzialnych za rozszerzenia, instrukcje wykonania kodu i ocenę połączeń.

W rejestrze ryzyka opiszmy scenariusz z opisu Cisco Talos: użytkownik dostaje instrukcję wklejenia JavaScript lub użycia rozszerzenia, a sterowanie korzysta z usługi chmurowej. Następnie przypiszmy do niego obecne zasady oraz dowody ich sprawdzenia. Jeśli firma ma wykaz rozszerzeń, odnotujmy, kiedy i w jakim zakresie go przejrzano. Jeśli dokumentacja nie obejmuje instrukcji wykonania kodu, zapiszmy zadanie jej uzupełnienia.

Opis Cisco Talos nie podaje kosztów ani skali strat, więc nie wyprowadzajmy z niego kwoty potrzebnego budżetu. Przed decyzją o zakupach poprośmy o ocenę istniejącej obserwacji ruchu do usług Google. Wynik ma zawierać dostępne informacje, ograniczenia analizy i osobę odpowiedzialną za wyjaśnienie braków. Nakład pracy nad zmianami oszacujmy dopiero na podstawie tego przeglądu.

Polska firma powinna sprawdzić własne użycie przeglądarki

Cisco Talos nie wskazuje polskich ofiar ani nie pozwala stwierdzić, że w ostatnich trzech miesiącach takich kampanii przybyło. Nie wykorzystujmy opisu Cisco Talos do ogłaszania takiego trendu. Dla polskiej organizacji proponowanym punktem odniesienia są własne rozszerzenia, zasady wklejania kodu oraz zakres obserwacji ruchu do chmury.

Jeśli firma dopuszcza usługi Google, wybierzmy jeden opisany sposób ich użycia i sprawdźmy powiązane zasady pracy w przeglądarce. Jeśli korzysta z Tampermonkey, zweryfikujmy uzasadnienie tego zastosowania. Jeżeli nie korzysta z tego rozszerzenia, nadal sprawdźmy instrukcję dotyczącą wklejania JavaScript. Zakres przeglądu dobierzmy do własnego środowiska, bez przypisywania mu zdarzeń, których nie potwierdzono.

Co z tym zrobić w poniedziałek

  1. Przejrzyj rozszerzenia jednej przeglądarki. W 30 minut porównaj dostępny wykaz z zasadami instalacji. Jeśli widnieje w nim Tampermonkey, sprawdź udokumentowany cel użycia. Zapisz brakujące uzasadnienia i osobę, która ma je wyjaśnić; pełny przegląd firmy pozostaw jako osobne zadanie.
  2. Sprawdź instrukcję dotyczącą JavaScript. W 30 minut ustal, czy zasady mówią, co zrobić z prośbą o wklejenie kodu. Przygotuj zapis wskazujący wstrzymanie działania do weryfikacji, odbiorcę zgłoszenia i materiał, który pracownik ma mu przekazać.
  3. Oceń dostępność informacji o ruchu do Google. W 30 minut przejrzyj z osobą odpowiedzialną za monitoring dostępny przykład zapisu połączenia. Zanotuj, co pozwala ustalić, a czego nie. Jeśli zapis jest niedostępny, zakończ zadanie wskazaniem tej luki i odpowiedzialnego za jej wyjaśnienie.

Kontrolę rozszerzeń i sesji przeglądarki wpiszmy do modelu ryzyka jako zadanie z określonym właścicielem. Wobec mechanizmu opisanego przez Cisco Talos wymagajmy uzasadnienia użycia kodu oraz oceny dostępnych informacji o połączeniach. Zaufanie do usług Google nie powinno zastępować tych decyzji.

Źródła

Redakcja cyberinsight.pl.