Attaccu à a catena di furnimentu 3CX: Lezioni amparate

I malfattori anu prima cumprumessu un pacchettu di software, X_TRADER, da una sucietà chjamata Tecnulugia cummerciale sede in Chicago, IL. U software avia malware ( VEILEDSIGNAL backdoor) iniettatu. L'installatore hè statu firmatu digitalmente cù un certificatu di firma di codice validu. I malfattori anu forse intrutu in a custruzzione pipeline da u 2021 è hà mudificatu u software prima ch'ellu sia imballatu è firmatu. Questu hè statu u primu passu in l'attaccu à a catena di furnimentu incatenata. Da marzu 2022 questu era cuntatu in u cuntestu di l'operazioni DreamJob cunnisciutu ancu cum'è BLINDINGCAN e AppleJeus, destinatu à l'urganisazioni basate in i Stati Uniti in i media, l'IT, e criptovalute è l'industrie fintech.

Stu software hè statu ritiratu in u 2020 (!), ma era dispunibule per u scaricamentu dapoi u 2022. Un impiegatu di 3CX l'hà stallatu nant'à un urdinatore persunale. I criminali anu arrubatu l'infurmazioni d'identità di l'impiegatu da l'urdinatore cumprumessu. Curiosamente, u VEILEDSIGNAL anu utilizatu un URL sottu à u situ web di Trading Technologies per u cumandu è u cuntrollu (una tattica spessu aduprata per evità a detezione).

Dui ghjorni dopu à u compromessu iniziale, i malfattori anu utilizatu a VPN corporativa per accede à i sistemi interni di 3CX. Anu utilizatu u proxy inversu FRP, un strumentu publicu chì puderia esse adupratu per u bè è u male, per spustassi lateralmente. Sapianu ciò chì fà cù u puntu d'appoghju guadagnatu: anu compromessu i sistemi di compilazione Windows è macOS. Ogni ambiente cù strumenti diversi. Per esempiu, anu utilizatu u strumentu SigFlip per injectà u shellcode criptatu RC4 in l'appendice di firma di u d3dcompiler_47.dll.

L'aghjurnamenti di u software per l'app 3CX Desktop per Windows è macOS sò stati infettati. Questu era u secondu passu in questu (primu?) attaccu di catena di furnimentu in parechji passi. L'aghjurnamentu di u software per Windows, ancu firmatu currettamente cù un certificatu di firma di codice 3CX, abbanduneghja dui fugliali maliziosi, ffmpeg.dll e d3dcompiler_47.dll (cù equivalente .dylib biblioteche per macOS), chì sò state caricate è eseguite da u benignu Applicazione di desktop 3CX eseguibile (via a tecnica di caricamentu laterale di DLL). U shellcode criptatu in a seconda DLL carica un'altra DLL chì si scarica da IconStorages Repositoriu GitHub un schedariu .ico chì cuntene u servitore di Cumandu è Cuntrollu (C2) criptatu.

Ci eranu più di 20 duminii furniti per questu, ciò chì ci dice cumu l'attaccu à a catena di furnimentu di u software hè statu pianificatu cù cura.

E cunnessione da i PC di e vittime à i duminii C2 sò cuminciate u 06 di marzu di u 2023 è sò finite u 29 di marzu.

Attenti, (1) nisun codice surghjente in un repositoriu di codice hè statu mudificatu, ma invece, u payload di malware hè statu injectatu durante a custruzzione, (2) un legittimu ffmpeg DDL hè statu rimpiazzatu da unu maliziosu è caricatu via caricamentu laterale di DLL, è (3) una app VoIP pupulare hè stata trasfurmata in un'arma cù malware multistadio.

Cumu hè statu trattatu l'incidentu

Pare chì u 29 di marzu 3CX hà ricevutu segnalazioni da terze parti di un attore maliziosu chì "sfruttava una vulnerabilità in u so pruduttu". E piattaforme anti-malware anu fattu (parzialmente) u so travagliu.

U 30 di marzu di u 2023, u 3CX CISO, Pierre Jourdan, hà publicatu un alerta di sicurità Informendu i clienti è i partenarii chì a so applicazione Electron (client desktop) hè stata spedita dopu un aghjurnamentu cù malware. U post elenca e versioni affettate (per Windows è Mac), una breve dichjarazione nantu à e misure iniziali di cuntinimentu prese, è una rapida raccomandazione per cuntinuà à travaglià cù u cliente web invece di u cliente desktop contaminatu.

À parè meiu, a cumunicazione iniziale, ancu s'ella era un pocu corta, era diretta. Ùn hè micca faciule per alcun venditore di ricunnosce chì ci hè un prublema di sicurezza seriu chì puderia affettà parechji clienti. A cumpagnia hà ricunnisciutu u prublema, è hà subitu indicatu un putenziale culpevule:

"Vale a pena di menziunà - questu pare esse statu un attaccu miratu da una Minaccia Persistente Avanzata, forse ancu sponsorizzata da u statu, chì hà realizatu un attaccu cumplessu di a catena di furnimentu è hà sceltu quale scaricaria e prossime tappe di u so malware."

L'impresa hà prupostu una alternativa per mantene u pruduttu in funzione: Aduprà u App Progressivu Web o PWA, invece di l'applicazione desktop, basatu annantu à Elettron marcu.

"Vi cunsigliemu fermamente d'utilizà a nostra applicazione PWA invece. L'applicazione PWA hè cumpletamente basata nantu à u web è face u 95% di ciò chì face l'applicazione Electron. U vantaghju hè chì ùn richiede alcuna installazione o aghjurnamentu, è a sicurezza web di Chrome hè applicata automaticamente."

A ragione per a quale avemu duie applicazioni hè chì quandu avemu iniziatu l'applicazione Electron, a tecnulugia PWA ùn era ancu dispunibile. Avà hè matura è funziona veramente bè.

Ebbè, l'applicazione web puderia ancu esse infettata, è una PWA per definizione pò eseguisce codice in i travagliadori di serviziu (codice JavaScript) cù accessu (limitatu) à e risorse lucali. U post sustinia chì a PWA ùn era micca infettata à quellu tempu. Pudemu capisce perchè, in parechji di i più di 277 cummenti à u post, alcuni anu dumandatu se l'alternativa PWA citata o u software di u servitore PBX stessu era statu cumprumessu.

U listessu ghjornu, 3CX hà numinatu Mandiant per l'inchiesta, cù più struzzioni. In fondu, installa l'aghjurnamentu per

App di desktop Win/Mac à l'installazione in situ, è disinstallate l'app electron per e versioni affettate, è andate à l'alternativa PWA. Questu ùn hè micca necessariamente abbastanza, postu chì u malware pò avè accessu à i sistemi affettati, persiste u malware, o ancu spustassi lateralmente. A rimozione cumpleta di u malware ùn hè micca cusì faciule. Pudemu capisce chì, data l'urgenza, u megliu modu per trattà un incidente ùn hè micca sempre truvatu... à menu chì u scenariu ùn sia statu imaginatu in anticipu è chì e misure di riparazione adatte sianu state identificate.

lu dopu à publicazione, avà da u CEO di a cumpagnia, prova à rassicurà i clienti cù l'annunziu di un aghjurnamentu solu di sicurezza per DesktopApp. Alcune tecniche di prutezzione basiche, cum'è u hashing di password, sò state implementate ("Perchè megliu chè mai hè tardi; mai riesce seria un periodu troppu longu.", Chaucer disse in u 1386.) E prutezioni specifiche è implementate sò megliu cà e bone intenzioni è i piani previsti... Ma cumu eranu almacenate e password prima?

In ogni casu, Google hà invalidatu u certificatu di firma di codice 3CX esistente è i venditori di antivirus anu ancu bluccatu qualsiasi software firmatu cù quellu certificatu. L'installatori MSI per l'aghjurnamentu di DesktopApp avianu bisognu di esse rigenerati cù un novu certificatu di firma di codice, ciò chì hà pigliatu qualchì ora. Questu era previstu!

3CX hà implementatu preventivamente un novu servitore. Questu hè ragiunevule: senza analisi, cumu u malware hè statu iniettatu era scunnisciutu.

U listessu 1u d'aprile, u CEO hà publicatu un Aghjurnamentu di l'incidenti di sicurezzaU post dice ciò chì a cumpagnia facia (cunduce una investigazione cumpleta è validà tuttu u codice surghjente di u software lato cliente). A sicurità ùn pò aspittà mancu u sabbatu.

Quandu l'incidentu hè statu analizatu è l'infrastruttura di l'attaccante hè stata cunnisciuta, u repositoriu GitHub è i duminii per i servitori C2 utilizati da l'APT sò stati rimossi, eliminendu efficacemente u malware.

U aprile 11th, a CISO hà publicatu u risultati iniziali di l'analisi di l'incidenti. L'APT UNC4736 ligatu à a Corea di u Nordu hè statu citatu per a prima volta.

U venneri 20 d'aprile, Mandiant hà publicatu u analisi iniziale di l'incidentuE regule di rilevazione di YARA è Snort sò state publicate.

U listessu ghjornu, u CEO di 3CX hà publicatu un novu post, cù u nome suggestivu "Azzioni, micca parolle - U nostru Pianu d'Azione di Sicurezza in 7 Passi!"U sottutìtulu hè abbastanza interessante: "Assicurà u futuru di 3CX dopu à una cascata senza precedenti attaccu à a catena di furnimentu software-in-softwareI passi di a carta di sicurezza redatta sò:

• Rinforzà parechji livelli di sicurezza di rete.

• A ristrutturazione custruisce a sicurità.

• Revisione cuntinua di a sicurezza di u produttu.

• Migliurà e caratteristiche di sicurezza di u produttu.

• Esecuzione di testi di penetrazione in corsu.

• Raffinazione di a gestione di crisi è di u pianu di gestione di l'alerte.

• Creazione di un novu dipartimentu per l'operazioni di rete è a sicurezza.

L'analisti averanu un ochju nantu à questu prugramma lodevole, in effetti...

Cunsequenze: Cumu hà reagitu l'industria

Solu uni pochi di settimane sò passate dapoi a publicazione di l'incidentu. Ma l'industria reagisce.

CVE-2023-29059 hè statu assignatu. À oghje, hà un puntuatu di risicu CVSSv3 di 7.8 (ALTU). I prudutti 3CX anu solu 16 CVE elencati, chì pare bè paragunatu à i venditori cù livelli d'implementazione simili. Ma questu incidente ùn hè micca a solita vulnerabilità in effetti. Questu hè un attaccu miratu attivu da una Minaccia Persistente Attiva (APT), cum'è u CISO hè u più ricunnisciutu.

lu CWE-506 U "Codice Maliziosu Integratu" chì categurizeghja questu incidente ùn ci aiuta micca assai à capisce cumu impedisce tali attacchi à a catena di furnimentu di software. Sfurtunatamente, i cattivi anu parechje vie per distribuisce malware, cù l'attacchi à a catena di furnimentu chì sò u novu fiore all'occhiello di u so arsenale. CWE-506 duveria esse migliuratu per riflette i scenarii attuali, cumpresi quelli basati nantu à a violazione di u sistema di compilazione.

L'APT, chjamatu UNC4736 da Mandiant, usa tattiche è tecniche simili à u cunnisciutu Gruppu Lazarus (APT38), urganizatu da u Statu Nordcoreanu, è i perpetratori di a campagna di ransomware WannaCry di u 2017. Tali ligami trà attori maligni in stati stalinisti cù orari di travagliu regulari sò difficiuli da stabilisce, ma i circadori di CrowdStrike e ESET hà trovu chì e tattiche, e tecniche è e procedure (TTP) aduprate s'assumiglianu à quelle di usu cumunu da Lazarus APT38. Capisce cumu funzionanu hè essenziale per a rilevazione, a prevenzione è l'eradicazione.

Cunnosce i so scopi, avvolti in u misteru, hè ancu più difficiule.

Questu attaccu hè abbastanza impurtante chì CISA, l'Agenzia di Sicurezza Cibernetica di i Stati Uniti, hà emessu un cunsigliu cù i posti di i venditori è i ligami à parechje analisi nantu à l'attaccu di a catena di furnimentu. Leghjeli hè pertinente per i praticanti di a cibersigurtà.

L'incidentu ci ricorda l'attaccu di SolarWinds. Datu l'enorme impattu, parechji venditori si sò precipitati à analizà l'installatori di prudutti desktop VoIP infettati. Ma questu hè l'ultimu passu. Ulteriori dettagli sò necessarii per capisce ciò chì hà fiascatu cù a sicurezza di i sistemi di compilazione di e duie urganisazioni affettate, è quali passi anu fattu i malintenzionati per influenzà questi sistemi di compilazione è sò riesciuti à fà inserisce u malware durante a compilazione. Altrimenti, questu incidentu si ripeterà torna è torna.

È avà, lezioni amparate!

Ghjucà un sport di squadra à sente qualchissia in a vostra squadra chì spiega ogni minutu di difettu di ghjocu dopu rompe u spiritu u più temperatu. Ma quì in Spagna, tutti sò allenatori di football naziunale! Allora lasciatemi agisce cum'è Pep Guardiola, José Mourinho, Alex Ferguson è Arrigo Sacchi tutti inseme.

Agisce cum'è s'è u vostru sistema di custruzzione fussi sottu à u focu pesante di l'artiglieriaForse ùn pudete micca impedisce à un impiegatu d'installà software micca autorizatu nantu à i PC di travagliu. Probabilmente, e squadre d'ingegneria puderanu richiede pulitiche più strette. Ma siate vigilanti nantu à a custruzzione è u sviluppu. pipelineSè vo furnite un software à i clienti, a sicurità di u modu di custruisce u software deve esse cusì impurtante cum'è a sicurità di u pruduttu software.

Preparazione à l'incidentiHè difficiule, forse sterile, d'anticipà i scenarii più prubabili per l'incidenti di sicurezza. Devu amparà à aduprà un defibrillatore ? Innò, à menu chì ùn campi cù una propensione à a carta.iac arrestu. Ma per l'amore di Diu! Siate pronti à "ricustruisce a vostra custruzzione" da zero, cù revoca + rinnovu di chjave, gettoni d'accessu, coppie di chjave publiche è certificati.

I sistemi di custruzzione devenu avè certe caratteristicheA tendenza attuale versu e custruzzioni in ambienti effimeri, è cù ambienti isolati/senza parametri/ermetici è ancu riproducibili puderia esse u quadru per impidiscia attacchi cum'è quellu nantu à 3CX Supply Chain Attack quandu hè cumplementatu cù esigenze supplementari nantu à altri sistemi in a custruzzione è u sviluppu pipeline. Vede Requisiti di compilazione di Google SLSA di rifarenza.

Una cumunicazione adatta hè chjaveA trasparenza hè ubligatoria. Minimizà u prublema, o ammuccià lu sottu à u tappettu hè a peghju cosa chì una urganizazione pò fà. L'incidenti di sicurezza spessu colpiscenu di più a reputazione chè altri beni, è una mala cumunicazione dopu à a violazione puderia esse catastrofica.

Trasfurmà i prublemi in opportunitàUn bon incidente pò pruvucà miglioramenti in i cuntrolli di sicurezza chì ùn anu mai trovu a so strada in u pianu strettu di u produttu. Ancu e cose essenziali cum'è u hashing currettu di e password è a documentazione di cunfigurazione / rinfurzamentu di a sicurezza puderanu esse pianificate per u cortu termine. Ma per l'attacchi à a catena di furnimentu, u rinfurzamentu di i sistemi di custruzzione è l'aghjunghje attestazioni è cuntrolli d'integrità in ogni passu di a custruzzione è di u sviluppu. pipelines sò essenziali. Ùn deve esse cusì faciule per un attaccante d'implantà tali cambiamenti in u sistema di compilazione.

Siate preparati. Altrimenti, a vostra urganizazione puderia affruntà una minaccia esistenziale, cum'è l'attaccu à a catena di furnimentu di u software 3cx.