Ostrzeżenie dla twórców. Sprawdzajcie, co pobieracie na nasze komputery

Przesyłanie instalatorów lub sygnatur nieszyfrowaną drogą nie jest samo w sobie czymś nadzwyczajnym. Niebezpiecznie robi się, kiedy dane nie są podpisane cyfrowo, nie są sprawdzane certyfikaty, skróty kryptograficzne – innymi słowy w żaden sposób dane nie są weryfikowane pod kątem zgodności z oryginalnymi pakietami.

Firma Avast przeanalizowała kampanię ze złośliwym oprogramowaniem używanym przez hakerów z Korei Północnej do przechwytywania aktualizacji antywirusowych. Padło na producenta eScan. Wskutek ataku MITM (man in the middle) hakerom udało się przekierować żądanie pobrania aktualizacji na fałszywy serwer – mechanizm dostarczania aktualizacji został użyty do przemycenia backdoora i koparki kryptowalut na końcowe urządzenia użytkowników.

Jak do tego doszło?

W szczegółowej analizie eksperci podają, że ataku MITM dokonywano na już zainfekowanym urządzeniu, co wyklucza włamanie na serwer aktualizacji producenta.

Dalsza część artykułu pod materiałem wideo

Eksperci nie wiedzą jak pierwotnie doszło do realizowania ataków MITM. Brak szczegółów pozwala jedynie teoretyzować: urządzenia końcowe, które "infekowały się" backdoorem GuptiMiner, już wcześniej musiały być zawirusowane albo sieci firmowe były kontrolowane przez napastników, co pozwoliło na infekowanie wybranych hostów.

Dalej – cały proces podmiany aktualizacji na złośliwe oprogramowanie rozpoczyna się od momentu wysłania żądania DNS z komputera użytkownika z zainstalowanym oprogramowaniem eScan do serwera aktualizacji producenta. Wskutek ataku man in the middle dochodzi do pobrania i zamiany pakietu aktualizacji na szkodliwy ładunek – później na uruchomienie "aktualizacji", czyli zainstalowanie backdoora z uprawnieniami eScan.

O ataku zespół eScan dowiedział się w roku 2023 – firma Avast poinformowała producenta, jak również indyjski CERT. Producent potwierdził istnienie problemu, ale nie wiadomo, jak długo hakerzy wykorzystywali słabość w mechanizmie aktualizacji eScan, ale pierwsze wzmianki o GuptiMiner pochodzą jeszcze z roku 2018, co daje teoretyczny obraz powagi zagrożenia. Avast podaje, że pierwsze wersje backdoora rozprzestrzeniały się poprzez protokół SMB w Windows 7 i Windows Server 2008.

Oświadczenie producenta eScan jest następujące:

1. Nasze dane wskazują, że ostatni podobny raport otrzymaliśmy pod koniec 2019 roku.

2. Od 2020 r. wdrożyliśmy rygorystyczny mechanizm sprawdzania, który wykorzystuje podpis EV, aby zapewnić odrzucanie niepodpisanych plików binarnych.

3. W naszym rozwiązaniu zintegrowano wiele reguł heurystycznych w celu wykrywania i blokowania wszelkich przypadków wykorzystywania legalnych procesów do kopania kryptowaluty.

4. Podczas gdy nasze wewnętrzne dochodzenia nie wykryło przypadków z narzędziem XMRig, możliwe jest, że może to być spowodowane czynnikami geolokalizacyjnymi.

5. Nasze najnowsze wersje rozwiązań wykorzystują bezpieczne pobieranie (https), zapewniając szyfrowaną komunikację, gdy klienci wchodzą w interakcję z naszymi serwerami w chmurze w celu pobrania aktualizacji.

Oświadczenie dobre, jak każde inne, chociaż brak w nim konkretów i szczegółów na temat ataku: liczby infekcji, lokalizacji ofiar, innych danych statystycznych.

Dogłębna analiza backdoora znajduje się na stronie firmy Avast. Do podobnego incydentu doszło w roku 2015 z oprogramowaniem Malwarebytes.

Ataki typu "supply-chain attack" nie są nowe, ale jeżeli już się pojawiają, to dają dobre nagłówki dziennikarzom IT na całym świecie. Nie można się temu dziwić, ponieważ już to przeżywaliśmy podczas WannaCry: od jednego ataku na łańcuch dostaw oberwało ponad 200 tysięcy organizacji w 150 krajach:

Co już teraz warto zrobić, aby zmniejszyć ryzyko cyberataku?

1. Zapobiegać początkowym wektorom ataków: zaimplementować ochronę urządzeń końcowych przed złośliwym oprogramowaniem, przed atakami na niewspierane już przez producenta oprogramowanie, przed phishingiem.
2. Zapisywać dzienniki danych telemetrycznych przez co najmniej 6 miesięcy, które ułatwią późniejsze rozpoznanie początkowego wektora ataku. Logi powinny zawierać między innymi korzystanie z dozwolonych i blokowanych aplikacji.
3. Zabezpieczyć systemy przed nieautoryzowanym dostępem zdalnym poprzez wymuszenie wieloskładnikowego logowania (MFA).
4. Opracować i przećwicz plan reagowania na incydenty i odzyskiwania danych.
5. Ryzyko ataku poprzez tzw. łańcuch dostaw (supply chain attack) jest duże, dlatego każda firma powinna samodzielnie ocenić zagrożenie oraz wprowadzić niezbędne rozwiązania, które będą w stanie wykryć anomalie.

Na koniec dodam jeszcze, że od 2021 roku nasiliły się ataki w łańcuchu dostaw. Najgłośniejszym tego typu atakiem był SolarWinds – infiltrowanie agencji rządowych USA przez całe miesiące. Później dowiedzieliśmy się o rosyjskiej grupie REvil, która zhakowała Kaseya, co przyczyniło się do zaatakowania około 1000 przedsiębiorstw, głównie w Stanach Zjednoczonych.

Organizacje powinny być świadome takiego zagrożenia. Powinny upewnić się, że mają odpowiednie rozwiązania, które zapobiegną tego rodzaju zaawansowanym atakom.

Autor Adrian Ścibor