CERT Polska 26 maja opisał wiadomości, w których nadawca prosi o podpisanie i opieczętowanie dokumentu. Według CERT Polska załącznik w formacie .tar zawierał AgentTesla, a uruchomienie jego zawartości prowadziło do infekcji. Ostrzeżenie dotyczy czynności, którą sekretariaty, działy sprzedaży i osoby akceptujące dokumenty wykonują na co dzień.

Wyobraź sobie recepcję, w której ktoś kładzie na ladzie kopertę z karteczką: „Proszę o podpis i pieczęć”. Osoba za ladą zna ten gest. Sięga po długopis, po pieczątkę z szuflady i otwiera kopertę, bo przecież trzeba zobaczyć, co się podpisuje. Nikt nie pyta, kto kopertę przyniósł ani dlaczego jest zaklejona inaczej niż zwykle. Rutyna działa sprawnie, bo pytanie o treść dokumentu zastąpiło pytanie o drogę, którą dokument przyszedł. Wiadomości opisane przez CERT Polska korzystają z tej samej rutyny, tyle że koperta jest plikiem, a otwarcie jej zawartości wystarcza, żeby uruchomić złośliwe oprogramowanie. Pytanie dla zarządu brzmi więc prosto: czy firmowa procedura podpisu zaczyna się od długopisu, czy od sprawdzenia, co właściwie leży na ladzie?

Prośba o pieczęć otwiera archiwum .tar

Mechanizm opisany przez CERT Polska składa się z dwóch części. Pretekstem jest wiadomość z prośbą o podpisanie i opieczętowanie dokumentu. Nośnikiem jest załącznik w formacie .tar, który zawierał AgentTesla. Do infekcji prowadziło uruchomienie zawartości tego załącznika.

W tym zestawieniu najważniejsza jest kolejność kroków po stronie odbiorcy. Prośba o pieczęć zakłada, że ktoś otworzy plik, żeby przeczytać dokument przed podpisem. Archiwum .tar trzeba najpierw rozpakować, a dopiero potem pojawia się jego zawartość. Każdy z tych kroków jest dla pracownika naturalnym przygotowaniem do podpisu.

Z przytoczonych faktów nie wynika, za kogo podawał się nadawca, do jakich organizacji trafiły wiadomości ani ile osób uruchomiło załącznik. Tych luk nie wypełniamy domysłami. Dla procedury wystarcza to, co wiadomo: pretekst biznesowy, archiwum .tar i infekcja po uruchomieniu zawartości.

Prośba o podpis jest dla atakującego wygodna, bo odbiorca sam uzasadnia sobie otwarcie pliku.

Czy procedura podpisu pyta, skąd przyszedł plik?

Instrukcja obiegu dokumentów może dokładnie opisywać, kto podpisuje umowę, protokół czy zamówienie, a jednocześnie pomijać to, którym kanałem dokument do podpisu ma prawo wpłynąć i w jakiej postaci. Proponujemy sprawdzić to w praktyce: weźmy firmową instrukcję i poszukajmy w niej słowa „załącznik” albo nazwy formatu pliku.

Jeśli instrukcja tego nie określa, pracownik sekretariatu ocenia wiadomość po treści, a treść „prosimy o podpis i pieczęć” brzmi jak setki innych. Osoba w sprzedaży, która czeka na podpisane zamówienie, ma dodatkowy powód, żeby nie zwlekać. To miejsce, w którym procedura na papierze rozmija się z rytmem pracy. Papier mówi o uprawnieniach do podpisu, praktyka zaczyna się wcześniej, w chwili otwarcia pliku.

Teza tego tekstu jest skromna. Procedura podpisywania dokumentów powinna uwzględniać sposób dostarczenia i rodzaj pliku. Archiwum .tar opisane 26 maja to dobry przykład formatu, przy którym pracownik powinien mieć jasną regułę, zanim cokolwiek rozpakuje.

Odpowiedzialność za podpis zaczyna się przy przyjęciu dokumentu

Z perspektywy zarządczej ryzyko leży w procesie. Pracownik, który otworzył załącznik z prośbą o pieczęć, wykonał czynność, do której go zatrudniono. Jeśli procedura nie określa kanału przyjmowania ani dopuszczalnych formatów, trudno oczekiwać, że ktoś zatrzyma się przy archiwum .tar z własnej inicjatywy.

Dlatego proponujemy, żeby właściciel procesu obiegu dokumentów odpowiadał także za trzy decyzje: którymi kanałami dokumenty do podpisu są przyjmowane, jakie rodzaje plików są w nich dopuszczalne i komu pracownik zgłasza wiadomość, która do tych reguł nie pasuje. Takie decyzje wymagają jednej aktualizacji instrukcji. Ich brak przerzuca ocenę ryzyka na osobę, która ma przed sobą pilną prośbę i nie ma kogo zapytać.

Eskalacja musi być łatwiejsza od otwarcia pliku. Jeśli zgłoszenie podejrzanej wiadomości wymaga wypełnienia formularza i czekania na odpowiedź, a otwarcie załącznika zajmuje chwilę, wynik łatwo przewidzieć.

Kto wyznacza osoby uprawnione do podpisu, powinien też wyznaczyć drogę, którą dokument do nich trafia.

Ostrzeżenie CERT Polska trafia w codzienność polskich biur

Komunikat CERT Polska z 26 maja jest skierowany do użytkowników i opisuje pretekst osadzony w polskiej praktyce biurowej. Prośba o „podpis i pieczęć” brzmi w polskim sekretariacie i dziale sprzedaży jak zwykła korespondencja. Właśnie ta zwyczajność czyni ostrzeżenie użytecznym dla polskich firm.

Dla zespołu bezpieczeństwa komunikat jest gotowym materiałem do krótkiego przypomnienia. Nie trzeba tłumaczyć zagranicznego scenariusza ani przekonywać, że dotyczy on lokalnych realiów. Wystarczy pokazać pracownikom tytuł ostrzeżenia, nazwę formatu .tar i regułę, co robić z takim załącznikiem.

Nie wiemy, czy kampania trwa, ani jaką skalę osiągnęła. Na decyzję o zmianie procedury podpisu ta wiedza nie jest jednak potrzebna, bo pretekst jest prosty do powtórzenia, a obieg dokumentów działa w każdej firmie.

Co z tym zrobić w poniedziałek

  • Przeczytaj firmową instrukcję obiegu dokumentów i sprawdź, czy wskazuje kanały przyjmowania dokumentów do podpisu oraz dopuszczalne rodzaje plików. Jeśli nie wskazuje, zapisz brak i przekaż go właścicielowi procesu.
  • Wyślij do sekretariatu, sprzedaży i osób akceptujących dokumenty krótką notę z linkiem do komunikatu CERT Polska z 26 maja. Dodaj jedną regułę, że archiwum .tar dołączone do prośby o podpis i pieczęć zgłaszamy przed rozpakowaniem.
  • Ustal i ogłoś jedną osobę lub skrzynkę, do której pracownicy zgłaszają podejrzaną prośbę o podpis. Sprawdź, czy zgłoszenie da się wysłać szybciej, niż otworzyć załącznik.

Prośba o podpis i pieczęć brzmi jak administracja, dlatego nadaje się na pretekst. Procedura, która zaczyna się od pytania o kanał i rodzaj pliku, odbiera atakującemu tę przewagę bez zakupu nowych narzędzi. Uprawnienie do podpisu opisujmy razem z drogą, którą dokument trafia na biurko.

Źródła

Redakcja cyberinsight.pl.