Według analizy Cisco Talos opublikowanej 8 października kampania przeciw osobom związanym z tajwańskimi organizacjami badawczymi wykorzystywała tematy prawdziwych wydarzeń, podmienione kody QR i przechwytywanie logowania Google. Dla firmy sprawdzającej zaproszenie biznesowe to powód, by weryfikację prowadzić aż do miejsca, w którym uczestnik ma się zalogować.

Czy potwierdzenie, że konferencja rzeczywiście się odbywa, wystarcza do zaakceptowania zaproszenia? W opisanej przez Cisco Talos kampanii temat prawdziwego wydarzenia towarzyszył podmienionym kodom QR na plakatach. Przy ocenie zaproszenia rozdzielmy więc pytania o samo wydarzenie, pochodzenie otrzymanego materiału i docelowe logowanie. Znalezienie informacji o konferencji powinno być początkiem sprawdzania, po którym następuje niezależne potwierdzenie organizatora oraz sposobu rejestracji. Nieznane pozostaje, jakie wewnętrzne zasady weryfikacji obowiązywały w organizacjach objętych kampanią. W swojej firmie możemy jednak sprawdzić, czy instrukcja dla odbiorcy zaproszenia obejmuje również kod QR i moment podania danych konta. To konkretny zakres przeglądu, który wynika z opisanego mechanizmu.

Podmieniony kod QR prowadzi uwagę od plakatu do logowania

Jak podaje Cisco Talos, badacze stwierdzili podmianę kodów QR na plakatach oraz użycie mechanizmu AitM do przechwytywania poświadczeń i wyzwań uwierzytelniania wieloskładnikowego, czyli MFA, w logowaniu Google. AitM oznacza udział atakującego jako pośrednika w procesie uwierzytelniania. Przy ocenie takiego zaproszenia uwzględnijmy zatem materiał zachęcający do udziału i dalszy przebieg logowania.

Z tej obserwacji wynika praktyczna zasada: autentyczności wydarzenia nie traktujmy jako potwierdzenia bezpieczeństwa kodu QR umieszczonego w otrzymanym materiale. Osobno sprawdźmy, czy organizator potwierdza ten plakat i wskazaną drogę rejestracji. Przy niejasności dotyczącej docelowego logowania wstrzymajmy podawanie danych do czasu wyjaśnienia. Sam temat konferencji nie powinien rozstrzygać tej decyzji.

Weryfikacja zaproszenia powinna obejmować kod QR i docelowe logowanie, nawet gdy samo wydarzenie jest prawdziwe.

W przeglądzie logowania Google uwzględnijmy także wyzwania MFA. Obserwacja Cisco Talos uzasadnia pytanie o odporność stosowanej metody na phishing. Nie przypisujmy jednak wszystkim metodom uwierzytelniania tego samego wyniku, bo ocena zależy od rozwiązania używanego we własnej organizacji.

Instrukcję sprawdźmy na zaproszeniu z kodem QR

Nie znamy procedur tajwańskich organizacji ani zachowania poszczególnych adresatów opisanej kampanii. Nie ma zatem podstaw, by przypisywać im zlekceważenie zasad. Zderzenie procedury z praktyką przeprowadźmy na własnym przykładzie. Wybierzmy otrzymane zaproszenie biznesowe zawierające kod QR i przeczytajmy obowiązującą instrukcję jego sprawdzania.

Czy instrukcja mówi, jak niezależnie dotrzeć do organizatora? Czy obejmuje potwierdzenie plakatu oraz ustalenie, gdzie ma prowadzić rejestracja? Jeśli kończy się na sprawdzeniu nazwy wydarzenia, dopiszmy pytania o kod QR i logowanie. Zapiszmy również, komu przekazać materiał, którego zgodności nie udało się potwierdzić. Te pytania służą ocenie naszej procedury; nie opisują ustaleń dotyczących ofiar kampanii.

Przy podejrzeniu podmiany kodu QR zgłoszenie powinno wskazywać konkretny plakat i powód wątpliwości. Proponujemy dołączyć otrzymany materiał oraz informację, skąd pochodzi, aby osoba przyjmująca zgłoszenie wiedziała, co porównać z wersją potwierdzoną przez organizatora. Nie wymagajmy od zgłaszającego rozstrzygnięcia, czy doszło do ataku AitM. Zadaniem odbiorcy zaproszenia powinno być przekazanie wątpliwości przed dalszym logowaniem, a wyjaśnienie techniczne przypiszmy osobie odpowiedzialnej za bezpieczeństwo.

Ocena MFA wymaga odpowiedzi o odporności na phishing

Dla zarządzających firmą opis Cisco Talos jest podstawą do przeglądu sposobu uwierzytelniania. Poprośmy osobę odpowiedzialną za konta Google o wskazanie używanych metod i ocenę ich odporności na phishing z udziałem pośrednika. Odpowiedź ograniczona do informacji, że MFA jest włączone, nie powinna zamykać takiego przeglądu. Pytanie dotyczy zachowania wybranej metody wobec opisanego mechanizmu.

Przegląd MFA powinien kończyć się oceną odporności konkretnej metody na phishing i wskazaniem tego, co pozostaje do wyjaśnienia.

Nie znamy kosztów ani skali strat w kampanii opisanej przez Cisco Talos. Nie wyliczajmy na tej podstawie budżetu zmian dla polskiej firmy. Najpierw ustalmy, jakie informacje o logowaniu Google są już dostępne, kto potrafi je ocenić i jakich odpowiedzi brakuje. Jeśli ocena wymaga dalszej pracy, przypiszmy odpowiedzialność za jej wykonanie oraz termin powrotu z wynikiem.

W tym samym przeglądzie ustalmy osobę przyjmującą zgłoszenia zmienionych plakatów z kodami QR. Powinna wiedzieć, kto potwierdzi materiał u organizatora, a kto oceni wątpliwości dotyczące logowania. Proponowane rozdzielenie odpowiedzialności ma dać zgłoszeniu konkretny dalszy bieg. Zakres ewentualnych zmian w uwierzytelnianiu pozostawmy do decyzji po ocenie używanych metod.

W polskiej firmie sprawdźmy własne zaproszenia

Opisane przez Cisco Talos cele kampanii były związane z tajwańskimi organizacjami badawczymi. Nie mamy danych pozwalających wskazać polskie ofiary. Dla polskiego odbiorcy punktem odniesienia powinno być więc własne zaproszenie biznesowe i sposób sprawdzania kodu QR, bez założenia, że firma jest objęta tą samą kampanią.

Jeśli organizacja korzysta z kont Google, zapytajmy, jak stosowane uwierzytelnianie zachowuje się wobec opisanego przechwytywania poświadczeń i wyzwań MFA. Jeśli oceniamy materiały konferencyjne, zacznijmy od niezależnego potwierdzenia organizatora i plakatu. Taki zakres pracy pozwala pozostać przy konkretnym mechanizmie. Do rozpoczęcia przeglądu nie potrzebujemy twierdzeń o wzroście liczby ataków, których dostępne fakty nie pozwalają ustalić.

Co z tym zrobić w poniedziałek

  1. Sprawdź organizatora jednego zaproszenia. W 30 minut znajdź niezależny kontakt do organizatora i przygotuj pytanie o otrzymany plakat, kod QR oraz właściwą drogę rejestracji. Zapisz, czego nie udało się potwierdzić; uzyskanie odpowiedzi może wymagać więcej czasu.
  2. Sprawdź drogę zgłoszenia zmienionego plakatu. W 30 minut ustal, komu pracownik ma przekazać podejrzany materiał z kodem QR. Przygotuj krótką instrukcję wskazującą odbiorcę zgłoszenia i informacje potrzebne do porównania plakatu z wersją organizatora.
  3. Rozpocznij ocenę uwierzytelniania Google. W 30 minut sprawdź dostępną dokumentację jednej używanej metody MFA pod kątem odporności na phishing. Zapisz wynik albo pytanie wymagające wyjaśnienia i przypisz osobę odpowiedzialną za dalszą ocenę.

Za warunek zaakceptowania zaproszenia przyjmijmy potwierdzenie organizatora oraz drogi od kodu QR do rejestracji i logowania. Od osoby odpowiedzialnej za konta Google oczekujmy oceny stosowanej metody uwierzytelniania wobec phishingu. Tak sformułowane wymagania pozwalają odnieść opisany przez Cisco Talos mechanizm do sprawdzalnych zadań we własnej firmie.

Źródła

Redakcja cyberinsight.pl.