Cisco Talos opisał 16 lipca kampanię UAT-11795 z implantami Starland RAT i WLDR oraz przynętami podszywającymi się pod instalatory narzędzi pracy. Według badaczy wykorzystywano między innymi nazwy MobaXterm, DBeaver, WebEx i Zoom. Dla zespołów IT, analityków danych i użytkowników komunikatorów to powód, by uporządkować miejsca pobierania oprogramowania: zatwierdzony katalog instalatorów zmniejsza ryzyko samodzielnego wyboru źródła.

Czy zgoda na używanie programu oznacza również zgodę na pobranie dowolnego pliku z jego nazwą? Przyjrzyjmy się temu pytaniu na przykładzie nazw wymienionych przez Cisco Talos. W przeglądzie firmowych zasad poprośmy o wskazanie miejsca, z którego użytkownik ma pobrać potrzebne narzędzie. Odpowiedź „możesz korzystać z tego programu” pozostawia jeszcze decyzję o pochodzeniu instalatora. Publikacja z 16 lipca daje konkretny powód do sprawdzenia tej luki w instrukcji. Nie wiemy, jakie procedury obowiązywały u odbiorców przynęt ani czy je naruszyli. Możemy natomiast wykorzystać opis kampanii do oceny własnego procesu: zgody na aplikację i wskazania zatwierdzonego sposobu jej uzyskania.

Nazwa narzędzia pracy służyła jako przynęta

Według Cisco Talos w kampanii UAT-11795 fałszywe instalatory były przynętami towarzyszącymi dostarczaniu implantów Starland RAT i WLDR. Dla decyzji o pobieraniu oprogramowania najważniejszy jest ten początek, czyli plik przedstawiany jako instalator potrzebnego narzędzia. Rozpoznawalną nazwę programu trzeba więc oddzielić od oceny pochodzenia konkretnego pliku.

MobaXterm, DBeaver, WebEx i Zoom wymieniamy jako nazwy wykorzystane w przynętach opisanych przez Cisco Talos. Samo ich pojawienie się w analizie nie daje podstaw do przypisywania dostawcom udziału w kampanii. W komunikacie do pracowników zachowajmy to rozróżnienie: sprawdzeniu podlega sposób pozyskania instalatora. Nie przedstawiajmy listy przynęt jako listy programów, których użycie dowodzi incydentu.

Dostępne fakty o Starland RAT i WLDR wystarczają do wskazania zagrożenia związanego z fałszywym instalatorem. Nie określają, u ilu odbiorców instalacja się powiodła. W przeglądzie własnego środowiska nie zastępujmy brakujących ustaleń założeniem, że obecność wymienionego narzędzia oznacza obecność implantu.

Zgoda na używanie aplikacji powinna wskazywać także zatwierdzony sposób zdobycia jej instalatora.

Procedurę pobierania sprawdź na konkretnym programie

Opis UAT-11795 nie dokumentuje firmowych instrukcji ani decyzji poszczególnych użytkowników. Zderzenie procedury z praktyką przeprowadźmy zatem u siebie. Wybierzmy jeden z wymienionych programów, o ile jest używany w organizacji, i poprośmy użytkownika o pokazanie ścieżki uzyskania instalatora. Sprawdźmy, czy instrukcja prowadzi do konkretnego miejsca, czy kończy się na nazwie aplikacji.

Przy takim przeglądzie MobaXterm lub DBeaver zapiszmy osobno zgodę na używanie programu, wskazane źródło pobrania i osobę zatwierdzającą to źródło. Jeśli któregoś elementu brakuje, oznaczmy go jako zadanie do uzupełnienia. Nie dopisujmy użytkownikowi samowolnego działania tylko dlatego, że firmowy dokument pozostawia wybór miejsca pobrania bez odpowiedzi.

Dla WebEx lub Zoom przeprowadźmy ten sam przegląd z perspektywy użytkownika komunikatora. Zaproponujmy również krótką instrukcję na wypadek braku potrzebnego instalatora w katalogu: do kogo skierować prośbę i gdzie otrzymać zatwierdzony plik albo odnośnik. Wynikiem sprawdzenia ma być ścieżka, którą da się wykonać, oraz lista braków wymagających decyzji IT.

Katalog instalatorów potrzebuje właściciela

Zarządczą odpowiedzią na scenariusz UAT-11795 powinno być przypisanie odpowiedzialności za źródła instalatorów. Zalecamy katalog obejmujący zatwierdzone pliki lub miejsca pobierania oraz wskazanie osoby, która utrzymuje jego zawartość. Wniosek dotyczy ograniczenia swobody wyboru niezweryfikowanego źródła; dostępne fakty nie pozwalają wyliczyć, ile prób taka kontrola zatrzyma, ani oszczędności dla konkretnej firmy.

Przy wpisach dotyczących MobaXterm, DBeaver, WebEx i Zoom, jeśli organizacja ich używa, wymagajmy informacji, kto zatwierdził źródło i kto rozpatruje potrzebę zmiany. Samo dopisanie nazw do wykazu dozwolonych aplikacji nie rozstrzyga, skąd mają pochodzić pliki. Odbiór zadania powiążmy z możliwością wskazania użytkownikowi konkretnego miejsca pobrania.

W rozmowie o nakładach na katalog oddzielmy przygotowanie wpisu od jego późniejszego utrzymywania. Dla wybranego programu poprośmy IT o ustalenie zakresu pracy i brakujących informacji. Kampania UAT-11795 uzasadnia sprawdzenie pochodzenia instalatorów, ale nie dostarcza danych o kosztach takiego zadania w naszej organizacji. Nie przedstawiajmy więc szacunku bez lokalnych ustaleń jako wniosku z raportu.

Katalog powinien rozstrzygać, skąd pobrać instalator i kto za ten wybór odpowiada.

Sygnały dotyczące UE nie określają liczby ofiar w Polsce

W opisie Cisco Talos są sygnały dotyczące państw UE, jednak dane pasywnego DNS nie potwierdzają liczby ofiar. Nie wiemy na tej podstawie, ile urządzeń w Polsce faktycznie zainfekowano. W komunikacie dla polskiego zespołu nie zamieniajmy sygnału geograficznego w stwierdzenie o potwierdzonych poszkodowanych ani o liczbie zaatakowanych firm.

Dla polskiego odbiorcy punktem zaczepienia jest sposób pobierania narzędzi wymienionych w analizie UAT-11795. Jeśli są używane w organizacji, można sprawdzić ich miejsce w katalogu bez zakładania, że kampania objęła firmę. Jeśli nie wiemy, czy są używane, zacznijmy od dostępnego wykazu aplikacji i zaznaczmy granice jego kompletności.

Raport Cisco Talos jest źródłem opisu tej kampanii. Przy przedstawianiu ustaleń zachowajmy przypisanie do badaczy i ostrożność dotyczącą zasięgu. Rekomendację uporządkowania instalatorów oprzyjmy na mechanizmie przynęty, a ocenę własnej ekspozycji pozostawmy do sprawdzenia na podstawie danych organizacji.

Co z tym zrobić w poniedziałek

Każdy punkt ogranicz do 30 minut i jednego programu z listy Cisco Talos, używanego w organizacji. Braki zapisz do dalszego wyjaśnienia.

  1. Porównaj instrukcję z drogą użytkownika. Otwórz obowiązującą instrukcję pobierania wybranego programu. Poproś jednego użytkownika o wskazanie miejsca, z którego uzyskałby instalator. Zapisz zgodność albo rozbieżność i informację, której brakuje w procedurze; nie uruchamiaj pobranego pliku podczas tego przeglądu.
  2. Sprawdź wpis w katalogu. Dla tego samego programu odszukaj zatwierdzone źródło oraz osobę odpowiedzialną za jego wybór. Jeśli wpisu nie ma, przygotuj zadanie jego uzupełnienia. Wynik sprawdzenia ogranicz do wybranej aplikacji, bez deklaracji o bezpieczeństwie całego katalogu.
  3. Przygotuj instrukcję zgłaszania braków. Zapisz, do kogo użytkownik ma się zwrócić, gdy potrzebnego instalatora nie ma w katalogu. Dodaj nazwę sprawdzonego programu i miejsce uzyskania odpowiedzi. Przekaż projekt właścicielowi katalogu do zatwierdzenia, z zaznaczeniem nierozstrzygniętych pytań.

Po publikacji o UAT-11795 postawmy katalogowi instalatorów mierzalne wymaganie: dla wybranego narzędzia użytkownik ma otrzymać zatwierdzone źródło i osobę kontaktową. Ograniczenie ryzyka zacznijmy od usunięcia tej niejasności w codziennej pracy. Oceny zasięgu kampanii nie zastępujmy domysłem o liczbie ofiar.

Źródła

Redakcja cyberinsight.pl.