ESET Research opisał w opublikowanej 14 maja analizie nową aktywność grupy FrostyNeighbor, obserwowaną od marca i skierowaną przeciw ukraińskiej administracji. Łańcuch ataku wykorzystuje linki w plikach PDF, a serwer atakujących sprawdza ofiarę, zanim dostarczy końcowy ładunek. Dla polskich instytucji i firm to argument, by podejrzanej wiadomości nie zamykać po jednym czystym teście, tylko zachować ją razem z kontekstem i śladami działania.

Wyobraź sobie paczkę, która wybucha tylko w rękach adresata. Saper, który ją otworzy, znajdzie w środku kilka kartek i uzna przesyłkę za niegroźną. Opisany przez ESET mechanizm działa podobnie. Pracownik zgłasza podejrzany PDF z linkiem, analityk otwiera link w odizolowanym środowisku i nie pojawia się nic złośliwego. Kusząca odpowiedź brzmi „fałszywy alarm, zamykamy zgłoszenie”. Tyle że w łańcuchu FrostyNeighbor o tym, czy końcowy ładunek w ogóle się pojawi, decyduje serwer po stronie atakującego. Jeżeli uzna, że po drugiej stronie nie ma oczekiwanej ofiary, test może wyjść czysto, choć wiadomość była częścią ataku. Pytanie brzmi więc inaczej: co organizacja zachowała z tej wiadomości, zanim ktoś ją skasował?

Serwer decyduje, komu pokazać końcowy ładunek

Według ESET Research łańcuch ma dwa elementy; opiszmy je osobno. Pierwszy to link osadzony w dokumencie PDF. Sam plik może więc nie zawierać nic, co skaner poczty uzna za złośliwe, bo właściwa treść czeka gdzie indziej. Drugi element to walidacja ofiary po stronie serwera. Zanim końcowy ładunek trafi do odbiorcy, serwer sprawdza, z kim ma do czynienia.

Jakie dokładnie kryteria stosuje serwer, ten tekst nie przesądza. Dla obrońcy ważniejszy jest skutek. Zawartość, którą zobaczy ofiara, i zawartość, którą zobaczy analityk albo automatyczna piaskownica, mogą się różnić. Ten sam link w dwóch różnych rękach daje dwa różne wyniki. Jeśli narzędzie bezpieczeństwa ocenia wiadomość w jednym podejściu (pobiera załącznik, otwiera link, sprawdza wynik), przy selektywnym dostarczaniu dostaje odpowiedź tylko o tym jednym podejściu.

Czysty wynik piaskownicy mówi, co serwer pokazał piaskownicy. O tym, co pokazałby ofierze, nie mówi nic.

Procedura zamyka zgłoszenie, zanim zacznie się analiza

Jeśli w organizacji obsługa zgłoszonej wiadomości kończy się na werdykcie skanera, procedura mówi mniej więcej tak: przeanalizuj załącznik, a gdy nic nie wykryto, oznacz zgłoszenie jako fałszywy alarm. Na papierze to rozsądny filtr, bo zespół nie może ręcznie badać każdego PDF-a. W praktyce przy łańcuchu opisanym przez ESET taki filtr przepuszcza właśnie te przypadki, które atakujący przygotował pod konkretnego odbiorcę.

Drugi rozjazd dotyczy usuwania. Jeżeli po zamknięciu zgłoszenia wiadomość znika ze skrzynki, razem z nią znikają nagłówki, adres nadawcy, czas doręczenia i lista innych odbiorców. Jeżeli kilka tygodni później okaże się, że ktoś z tej samej listy kliknął link i dostał inny wynik niż analityk, zespół nie ma od czego zacząć. Logi DNS czy proxy też mają swój okres przechowywania; sprawdź, czy jest dłuższy niż czas potrzebny na powiązanie faktów.

Trzeci punkt to sam pracownik. Osoba, która zgłosiła wiadomość, wie, czy kliknęła link, zanim zgłosiła, i co wtedy zobaczyła. Sprawdź, czy formularz zgłoszenia o to pyta. A przy walidacji po stronie serwera pierwsze kliknięcie ofiary może być jedynym, które dostało prawdziwy ładunek.

W takim incydencie najcenniejszym dowodem bywa pierwsze kliknięcie pracownika. Analityk, który sprawdzi link godzinę później, może zobaczyć już tylko niegroźną treść.

Odpowiedzialność za werdykt „czysto” trzeba komuś przypisać

Z perspektywy zarządu ryzyko leży w tym, kto i na jakiej podstawie zamyka ocenę wiadomości. Jeśli werdykt wydaje automat, a nikt nie odpowiada za decyzję o eskalacji, organizacja w praktyce przyjmuje, że brak pliku oznacza brak ataku. Analiza ESET pokazuje łańcuch, w którym ten warunek nie musi być spełniony.

Koszt zmiany jest niewielki w porównaniu z kosztem przeoczenia. Wystarczy reguła, według której zgłoszenia spełniające określone warunki, na przykład PDF z linkiem od nieznanego nadawcy do pracownika na stanowisku z dostępem do wrażliwych danych, trafiają do eskalacji zamiast do kosza. Do tego potrzebna jest reguła przechowywania: zgłoszona wiadomość zostaje w kwarantannie przez ustalony czas, z pełnymi nagłówkami.

Odpowiedzialność sięga też umowy. Jeśli analizę zgłoszeń prowadzi zewnętrzny dostawca, sprawdź, czy jego raport mówi, jak dostawca wykonał test i co zachował. Raport „nie wykryto zagrożenia” bez tych danych trudno później obronić.

Polskie organizacje mogą sprawdzić proces bez czekania na własny incydent

ESET opisuje nową aktywność jako wymierzoną w ukraińską administrację. Czy ten sam łańcuch trafia do polskich skrzynek, ten tekst nie przesądza. Wniosek dla polskich instytucji i przedsiębiorstw dotyczy więc procesu obsługi zgłoszeń. Mechanizm, w którym serwer wybiera, komu pokazać ładunek, podważa każdą procedurę opartą na jednym teście, niezależnie od tego, kto jest celem.

Ocena ryzyka dla firmy powinna więc obejmować pytanie, ile zgłoszonych w ostatnim kwartale wiadomości z linkami zamknięto po jednym teście. Jeśli odpowiedź brzmi „nie wiemy”, to też jest odpowiedź. Analiza z 14 maja daje konkretny powód, by zadać to pytanie teraz, zanim któraś z takich wiadomości okaże się początkiem incydentu.

Co z tym zrobić w poniedziałek

  1. Sprawdź, co dzieje się ze zgłoszoną wiadomością po werdykcie „czysto”. Ustal z zespołem poczty albo dostawcą, czy zgłoszone wiadomości trafiają do kwarantanny z pełnymi nagłówkami i na jak długo. Jeśli są kasowane od razu, zapisz to jako lukę.
  2. Dodaj do formularza zgłoszenia dwa pytania. Czy pracownik kliknął link przed zgłoszeniem i co wtedy zobaczył. Odpowiedzi zachowaj razem z wiadomością.
  3. Wskaż regułę eskalacji dla PDF z linkiem. Zapisz jeden warunek, przy którym zgłoszenia z linkiem w PDF nie wolno zamknąć wyłącznie na podstawie jednego automatycznego testu, i przypisz osobę, która podejmuje decyzję o dalszej analizie.

Łańcuch FrostyNeighbor opisany przez ESET pokazuje, że wynik testu zależy od tego, kto testuje. Organizacja, która zamyka ocenę po jednym czystym przebiegu, mierzy więc ostrożność serwera atakującego. Zachowana wiadomość, kontekst zgłoszenia i ślady pierwszego kliknięcia to wszystko, co zostanie, gdy serwer pokaże prawdziwy ładunek komuś innemu.

Źródła

Redakcja cyberinsight.pl.