ESET Research opisał we wtorek 5 maja atak ScarCruft na platformę gier kierowaną do mieszkańców regionu Yanbian. Według badaczy napastnicy zmodyfikowali komponenty platformy na Windows i Androida i umieścili w nich backdoory. Kampania dotyczyła Chin, ale lekcja trafia do każdej firmy, w której pracownicy łączą się z zasobami firmowymi z prywatnych laptopów i telefonów.

Zadaj sobie jedno pytanie o firmową listę dozwolonych aplikacji: co właściwie zatwierdziliście? Odpowiedź, która przychodzi pierwsza, brzmi „konkretny program od konkretnego wydawcy”. Ta odpowiedź jest błędna, bo zgoda obejmuje także każdą przyszłą wersję, którą ten program pobierze sam. Aplikacja zainstalowana raz wraca po aktualizacje miesiącami, a nikt w dziale IT nie ogląda każdej z nich. Przypadek opisany przez ESET Research pokazuje, co dzieje się, gdy ktoś przejmie kanał, z którego te wersje płyną. Według badaczy legalna platforma gier stała się nośnikiem backdoorów na dwóch systemach naraz. Na tym polega schemat ataku na łańcuch dostaw: złośliwy kod dociera do użytkownika ze źródła, które ten zna.

Zaufana platforma jako nośnik

Mechanizm opisany przez ESET Research to atak na łańcuch dostaw. Według badaczy grupa przejęła platformę gier, zmodyfikowała jej komponenty dla Windows i Androida i umieściła w nich backdoory.

Dla obrońcy to niewygodny układ. Plik pochodzi z miejsca, które użytkownik zna. Aplikacja ma tę samą nazwę co poprzednio. Na liście dozwolonego oprogramowania widnieje jako zatwierdzona. Każdy z tych sygnałów mówi „w porządku”, a żaden nie odnosi się do zawartości nowej wersji.

Kilku szczegółów nie znamy: ilu użytkowników pobrało zmodyfikowane komponenty, jak napastnicy dostali się do platformy i jakie funkcje miały backdoory. Wniosek dla firm wynika jednak z samego schematu: zaufany dostawca, dwa systemy operacyjne, zmieniona zawartość.

Zgoda na aplikację jest w praktyce zgodą na wszystko, co jej kanał aktualizacji dostarczy w przyszłości.

Lista dozwolonych aplikacji kończy się na nazwie programu

Typowa procedura dopuszczenia oprogramowania odpowiada na pytania: kto jest wydawcą, skąd pochodzi instalator, do czego program służy. Po zatwierdzeniu wpis trafia na listę i rzadko do niego wracamy. Kanał aktualizacji pozostaje poza oceną, bo w chwili zatwierdzenia wydaje się sprawą techniczną dostawcy.

Przypadek ScarCruft obnaża tę lukę. Użytkownik platformy gier opisanej przez ESET mógł przestrzegać zasady „instaluj tylko znane programy” i nic by mu to nie dało. Zmodyfikowane komponenty przyszły z platformy, którą znał.

Na urządzeniach prywatnych problem jest większy. Gra nie przechodzi przez żaden firmowy proces zatwierdzania. Pracownik instaluje ją w domu, a potem ten sam laptop lub telefon łączy się z pocztą, komunikatorem albo systemem firmowym. Procedura BYOD często określa, czym urządzenie ma się łączyć. Rzadziej wymienia, czego na nim być nie powinno albo jak oddzielić prywatne aplikacje od firmowych danych.

Kto odpowiada za kanał, którego nikt nie wybrał

Z perspektywy zarządu ryzyko ma prosty kształt. Firma ufa programom, które zatwierdziła, oraz urządzeniom, którym pozwoliła się łączyć. Atak opisany przez ESET Research omija oba filtry: program był znany, a urządzenie mogło być prywatne.

Pierwsza decyzja dotyczy zakresu zgody. Lista dozwolonych aplikacji powinna zawierać informację, skąd program pobiera aktualizacje i kto w firmie odpowiada za ocenę tego kanału. Bez takiego wpisu odpowiedzialność za aktualizację spada domyślnie na dostawcę, a w opisanej kampanii to właśnie dostawca platformy gier padł ofiarą przejęcia.

Druga decyzja dotyczy urządzeń prywatnych. Firma nie zarządza aplikacjami na prywatnym telefonie pracownika i zwykle nie powinna. Może jednak ograniczyć to, do czego takie urządzenie ma dostęp. Im szerszy dostęp z urządzenia prywatnego, tym większe znaczenie ma każda gra zainstalowana na nim po godzinach.

Trzecia decyzja dotyczy wykrywania. Backdoor w komponencie zaufanej aplikacji nie wywoła alarmu przy instalacji, bo instalacja wygląda na rutynową. Szansę daje dopiero obserwacja zachowania programu po aktualizacji.

Urządzenie prywatne z dostępem do firmowej poczty wnosi do organizacji wszystkie aplikacje, które pracownik zainstalował na nim dla rozrywki.

Kampania w Yanbian, mechanizm także w Polsce

Ustalenia ESET Research z 5 maja dotyczą platformy kierowanej do mieszkańców regionu Yanbian w Chinach. Polskie ofiary nie są znane i nie ma podstaw, by przenosić skalę tej kampanii na Polskę. W komunikacie dla pracowników nie przedstawiajmy jej jako zagrożenia, które dotknęło polskie firmy.

Dla polskiego odbiorcy znaczenie ma mechanizm. Windows i Android są obecne na firmowych laptopach i telefonach, także prywatnych używanych w trybie BYOD. Polskie organizacje, które dopuszczają dostęp z takich urządzeń, opierają tę zgodę na tym samym założeniu, które zawiodło użytkowników platformy w Yanbian: że znany program pozostaje bezpieczny także po kolejnej aktualizacji.

Co z tym zrobić w poniedziałek

  1. Dopisz kanał aktualizacji do listy dozwolonych aplikacji. Wybierz pięć najczęściej używanych programów z listy i przy każdym zapisz, skąd pobiera aktualizacje oraz czy robi to automatycznie. Brak wiedzy o kanale oznacz jako zadanie do wyjaśnienia z dostawcą.
  2. Sprawdź, do czego mają dostęp urządzenia prywatne. Otwórz obowiązującą zasadę BYOD i wypisz systemy firmowe, z którymi łączą się prywatne laptopy i telefony. Przy każdym systemie zaznacz, czy dostęp jest niezbędny w obecnym zakresie.
  3. Przygotuj krótki komunikat dla pracowników. Opisz przypadek jednym zdaniem: według ESET grupa ScarCruft przejęła platformę gier i dodała backdoory do jej komponentów na Windows i Androida. Dodaj prośbę, by na urządzeniach z dostępem do firmy ograniczyć aplikacje do potrzebnych.

Lista dozwolonych aplikacji, która zna nazwę programu i nie zna jego kanału aktualizacji, zatwierdza tylko pierwszą wersję. Przypadek ScarCruft pokazuje, że kolejna może pochodzić od kogoś innego niż wydawca. Pytanie o kanał aktualizacji zadajmy sami, zanim zrobi to za nas incydent.

Źródła

Redakcja cyberinsight.pl.