Według analizy ESET Research opublikowanej 18 czerwca operatorzy ransomware Gentlemen utrzymują zestaw narzędzi do wyłączania EDR i udostępniają go swoim afiliantom. Badacze wyróżnili co najmniej osiem wariantów GentleKiller, które korzystają z różnych sterowników. Dla firm, które opierają ochronę serwerów i stacji roboczych na EDR, to powód, by sprawdzić, co system pozwala załadować i kto zauważy, że agent ochrony przestał działać.

Skąd wiadomo, że EDR na serwerze plików nadal chroni? Zła odpowiedź jest wygodna: „konsola nie pokazuje alertów, więc wszystko jest w porządku”. Ta odpowiedź zakłada, że atakujący, który chce wyłączyć ochronę, zostawi po sobie czerwony komunikat. Narzędzie zbudowane do wyłączania EDR ma przeciwny cel. Wyłączony agent nie raportuje, więc w konsoli zamiast alarmu zostaje cisza, którą łatwo wziąć za spokój. Analiza ESET o grupie Gentlemen opisuje właśnie taki zestaw narzędzi, w dodatku utrzymywany przez operatorów i udostępniany afiliantom. Dlatego postawmy pytanie inaczej. Jakie sterowniki system w ogóle dopuszcza do załadowania? Po ilu minutach ktoś zauważy, że serwer zamilkł? I czy ta informacja trafi do osoby na dyżurze, czy do raportu na koniec miesiąca?

GentleKiller ma co najmniej osiem wariantów na różnych sterownikach

Według ESET Research zestaw do wyłączania EDR jest wspólnym zasobem grupy. Utrzymują go operatorzy Gentlemen, a korzystają z niego afilianci, którym operatorzy go udostępniają. Słowo „framework” w tytule analizy dobrze oddaje ten układ: zestaw utrzymywany przez jednych i używany przez innych.

Dla obrońców ma to prosty skutek. Afiliant nie musi sam umieć wyłączać ochrony, bo dostaje gotowe narzędzie od operatorów. Zdolność do wyłączenia EDR zależy więc od tego, co przygotowali i utrzymują operatorzy grupy, a umiejętności konkretnego wykonawcy ataku schodzą na dalszy plan.

Drugi fakt z analizy jest ważniejszy dla administratorów. Badacze wyróżnili co najmniej osiem wariantów GentleKiller, a warianty te używają różnych sterowników. Jeśli obrona polega na zablokowaniu jednego sterownika, który pojawił się w raporcie, zamyka jedną z dróg. Tu zaczyna się pierwsza część tezy tego tekstu: to, czy EDR zadziała, zależy także od zasad, które określają, jakie sterowniki system w ogóle dopuszcza. Tę decyzję firma podejmuje sama, zanim ktokolwiek zaatakuje, i może ją sprawdzić bez czekania na kolejną analizę.

Przy co najmniej ośmiu wariantach narzędzia ważniejsza od listy zakazanych plików jest zasada, które sterowniki system w ogóle dopuszcza.

Zielona konsola może oznaczać, że agent zamilkł

Jeśli raport bezpieczeństwa dla zarządu pokazuje odsetek urządzeń z zainstalowanym agentem EDR, mierzy instalację. Narzędzie takie jak GentleKiller uderza w działanie agenta, a tego ten wskaźnik nie pokazuje. Na papierze ochrona obejmuje wszystkie serwery. W praktyce jest tak dobra, jak reakcja na moment, w którym jeden z nich przestaje się odzywać.

Podobny słaby punkt ma procedura reagowania, która zaczyna się od alertu. Wyłączony agent alertu nie wyśle. Druga część tezy dotyczy więc wykrywania utraty telemetrii. Host, z którego nagle przestają przychodzić zdarzenia, jest sygnałem sam w sobie. Trzeba jednak wiedzieć, czy ktoś ten sygnał odbiera. Czy konsola oznacza takie urządzenie jako nieaktywne? Po jakim czasie? Czy informacja trafia do osoby na dyżurze, czy do zestawienia, które ktoś przejrzy w piątek?

Tu łatwo o rozjazd między dokumentem a praktyką. Polityka może stwierdzać, że każdy serwer ma EDR, a jednocześnie nikt nie odpowiada za to, co się dzieje, gdy agent na serwerze milknie w nocy. ESET opisuje narzędzie, które grupa Gentlemen utrzymuje i przekazuje afiliantom, więc scenariusz wyłączenia ochrony trudno odłożyć do kategorii egzotycznych.

Brak zdarzeń z serwera też jest zdarzeniem. Jeśli nikt go nie obsługuje, wyłączenie EDR przejdzie jak zwykła cisza na dyżurze.

Odporność ochrony wymaga właściciela, umowy i testu

Z perspektywy zarządu ryzyko ma trzy elementy. Pierwszy to odpowiedzialność za politykę sterowników. Jeśli należy ona do administratorów systemów, a EDR do zespołu bezpieczeństwa albo zewnętrznego dostawcy, ochrona przed narzędziem opisanym przez ESET leży na styku dwóch zespołów. Na takich stykach zadania giną najłatwiej, bo każda strona zakłada, że pilnuje druga.

Drugi element to umowa z dostawcą monitorowania, jeśli firma z niego korzysta. Sprawdź, czy zakres usługi obejmuje reakcję na urządzenie, które przestało raportować, i w jakim czasie ta reakcja ma nastąpić. Zapis o obsłudze alertów nie wystarcza, gdy wyłączenie EDR może alertu nie wygenerować.

Trzeci element to test. Odporność usług ochrony podczas incydentu sprawdza się w scenariuszu, w którym agent przestaje działać na wybranym hoście, a zespół mierzy czas do reakcji. Ćwiczenie w środowisku testowym, przy kontrolowanym zatrzymaniu agenta, odpowiada na pytanie, którego nie rozstrzygnie raport z wdrożenia. Koszt takiego ćwiczenia trzeba oszacować we własnej organizacji, bo zależy od skali środowiska i modelu współpracy z dostawcą.

Szczegóły techniczne poszczególnych wariantów GentleKiller zespół bezpieczeństwa znajdzie bezpośrednio w analizie ESET Research. Dla decyzji zarządczej wystarczy wniosek z samej liczby: co najmniej osiem wariantów oznacza, że obrona musi opierać się na zasadach, nie na pojedynczych sygnaturach.

Co z tym zrobić w poniedziałek

  1. Sprawdź, jak konsola EDR pokazuje milczący host. W 30 minut ustal w konsoli albo u dostawcy, po jakim czasie konsola oznacza urządzenie bez łączności jako nieaktywne i kto dostaje tę informację. Jeśli trafia ona tylko do okresowego raportu, zapisz to jako lukę do omówienia.
  2. Wskaż właściciela polityki sterowników. Ustal osobę, która decyduje, jakie sterowniki mogą być ładowane na serwerach i stacjach roboczych. Zapisz, czy taka zasada istnieje na piśmie i czy blokowanie sterowników jest włączone w systemach, którymi zarządzasz.
  3. Zaplanuj test utraty telemetrii. Wybierz jeden serwer testowy i opisz scenariusz kontrolowanego zatrzymania agenta EDR z jedną miarą: po ilu minutach ktoś zareaguje. Uzgodnij termin ćwiczenia z zespołem bezpieczeństwa albo z dostawcą monitorowania.

Opis ESET pokazuje, że wyłączanie ochrony jest u Gentlemen zadaniem operatorów, którzy utrzymują narzędzia dla afiliantów, z co najmniej ośmioma wariantami na różnych sterownikach. Firma nie ma wpływu na to, ile wariantów powstanie. Ma natomiast wpływ na to, co system pozwala załadować i jak szybko ktoś zauważy, że agent zamilkł. EDR, którego nikt nie sprawdził w scenariuszu wyłączenia, jest na razie założeniem w raporcie.

Źródła

Redakcja cyberinsight.pl.