ESET poinformował w środę 24 czerwca o udziale w Operation Endgame, operacji wymierzonej w Amadey i Stealc. Według ESET Research działania objęły około 50 domen i niemal 200 aktywnych adresów IP serwerów C&C. Dla zespołów reagowania i osób odpowiedzialnych za konta pracowników ta wiadomość jest powodem do przeglądu kont.

Czy po wyłączeniu serwerów sterujących można zamknąć zgłoszenie o wykryciu Amadey albo Stealc na służbowym laptopie? Kusząca odpowiedź brzmi „tak”, bo skoro przestępcy stracili infrastrukturę, to zagrożenie minęło. To zła odpowiedź. Komunikat ESET opisuje skalę działań wobec infrastruktury. Nie opisuje natomiast tego, co działo się na komputerach firm, zanim działania objęły te serwery. Zespół, który zamyka zgłoszenie z adnotacją „infrastruktura zlikwidowana”, odpowiada na pytanie o przyszłość. Pytanie o przeszłość, czyli o to, jakie konta mogły wcześniej trafić w ręce przestępców, nie ma odpowiedzi. Tę różnicę nazwijmy w procedurze wprost, bo w kolejce zgłoszeń łatwo ją przeoczyć.

Zakłócenie działa od dnia operacji, nie wstecz

Serwer C&C (command and control) służy do sterowania złośliwym oprogramowaniem działającym na zainfekowanych komputerach. Według ESET działania objęły około 50 domen i niemal 200 aktywnych adresów IP takich serwerów. Jeśli te serwery przestały działać, zainfekowane komputery tracą z nimi łączność.

Przytoczone fakty nie opisują natomiast funkcji Amadey ani Stealc, liczby zainfekowanych komputerów ani rodzaju danych, które przez te serwery przeszły. Nie wiemy też, kiedy dokładnie przeprowadzono działania ani czy przestępcy dysponowali zapasową infrastrukturą. Tych luk nie wypełniajmy domysłami.

Jedno wynika z samej logiki zakłócenia. Wyłączenie serwera zatrzymuje komunikację od tej chwili. Nie usuwa z rąk przestępców informacji, które mogły do nich dotrzeć wcześniej. Jeśli na firmowym komputerze działało złośliwe oprogramowanie, hasła i sesje używane na tym komputerze traktujmy jako potencjalnie ujawnione, niezależnie od losu serwerów.

Likwidacja serwera C&C kończy komunikację; konta, które mogły wcześniej wyciec, nadal wymagają oceny.

Procedura zamyka incydent, konta zostają otwarte

Sprawdźmy, czy nasza procedura reagowania kończy obsługę infekcji na stacji roboczej usunięciem złośliwego oprogramowania albo reinstalacją systemu. Jeśli tak, scenariusz wygląda prosto: komputer jest czysty, zgłoszenie trafia do archiwum. Komunikat o Operation Endgame może wzmocnić ten odruch, bo daje poczucie, że sprawę załatwił ktoś inny.

Tymczasem czysty komputer i bezpieczne konto to dwa osobne stany. Reinstalacja systemu nie zmienia hasła do poczty, nie unieważnia sesji w usługach chmurowych i nie wycofuje tokenów zapamiętanych w przeglądarce. Jeśli w ostatnich miesiącach w firmie wykryto Amadey lub Stealc, sprawdźmy, czy zamknięte zgłoszenie zawiera jakąkolwiek decyzję dotyczącą kont użytkownika tego komputera. Brak takiej decyzji wskazuje lukę w procedurze i nie powinien prowadzić do szukania winnego.

Drugie rozminięcie dotyczy podziału odpowiedzialności. Zespół reagowania widzi komputer, a zespół odpowiedzialny za tożsamość widzi konta. Przy jednym wykryciu Stealc obie strony mogą uznać, że sprawa należy do drugiej.

Ocena ekspozycji kont jest decyzją zarządczą

Dla zarządu z komunikatu ESET płynie wąska wiadomość. Zewnętrzne zakłócenie infrastruktury przestępczej obniża ryzyko na przyszłość, ale nie przenosi odpowiedzialności za konta pracowników na podmioty, które przeprowadziły operację. Za ocenę, czy firmowe poświadczenia mogły wyciec, odpowiada organizacja, która nimi zarządza.

Ocena sprowadza się do zestawienia wykryć z ostatniego okresu, listy kont używanych na tych komputerach i decyzji o wymuszeniu zmiany haseł oraz unieważnieniu sesji. Koszt zaniechania trudno oszacować, bo zależy od tego, do czego prowadziły ujawnione konta: poczty, systemów finansowych, dostępu zdalnego.

Liczby ESET nie dają podstaw do szacowania prawdopodobieństwa incydentu w konkretnej firmie. Liczby z komunikatu opisują skalę działań wobec infrastruktury. Nie mówią nic o liczbie ofiar w Polsce ani w innych krajach. Nie przeliczajmy ich na ryzyko finansowe.

Operacja wobec infrastruktury przestępców nie zdejmuje z firmy obowiązku sprawdzenia własnych kont.

Polskie firmy powinny sprawdzić własne wykrycia

Przytoczone fakty nie wskazują liczby polskich ofiar Amadey ani Stealc. Polski kontekst wynika więc z tego, co każda firma może ustalić u siebie. Konsola ochrony stacji roboczych, system zbierania logów albo raporty dostawcy usług bezpieczeństwa pozwalają sprawdzić, czy nazwy Amadey lub Stealc pojawiły się w wykryciach.

Jeśli się nie pojawiły, przegląd kończy się krótką notatką z datą i zakresem sprawdzenia. Jeśli się pojawiły, każde wykrycie powinno mieć przypisaną osobę, która oceni konta użytkownika danego komputera. Ten sam schemat przyda się przy kolejnych komunikatach o zakłóceniu infrastruktury przestępczej, niezależnie od nazwy operacji.

W mniejszych organizacjach zespół reagowania i administrator kont bywają tą samą osobą albo zewnętrznym dostawcą. Wtedy wystarczy jedno pytanie w umowie lub zgłoszeniu: czy po usunięciu infekcji oceniono konta użytkownika?

Co z tym zrobić w poniedziałek

Każde z poniższych działań da się wykonać w 30 minut.

  1. Wyszukaj Amadey i Stealc w wykryciach. Przejrzyj konsolę ochrony stacji roboczych lub poproś dostawcę usług bezpieczeństwa o zestawienie wykryć tych nazw. Zapisz wynik z datą i zakresem przeszukania.
  2. Dla każdego wykrycia sprawdź decyzję o kontach. Otwórz zamknięte zgłoszenie i ustal, czy zawiera zmianę haseł i unieważnienie sesji użytkownika komputera. Brakujące decyzje przekaż osobie odpowiedzialnej za konta pracowników.
  3. Dopisz krok do procedury reagowania. W instrukcji obsługi infekcji stacji roboczej dodaj punkt o ocenie kont użytkownika przed zamknięciem zgłoszenia oraz wskaż, kto za tę ocenę odpowiada.

Komunikat ESET o skali działań to dobra wiadomość dla wszystkich, którzy bronią firmowych sieci. Nie jest jednak raportem z przeglądu kont w żadnej konkretnej organizacji. Ten przegląd zespół reagowania musi zrobić sam, zanim uzna sprawę Amadey i Stealc za zamkniętą.

Źródła

Redakcja cyberinsight.pl.