Atak sou Chèn Apwovizyonman 3CX: Leson nou aprann

Move aktè yo te premye konpwomèt yon pake lojisyèl, X_TRADER, ki soti nan yon konpayi ki rele Teknoloji komès katye jeneral li nan Chicago, IL. Lojisyèl la te gen malveyan ( VWALÈ SIYAL pòt dèyè) enjekte. Enstalatè a te siyen dijitalman avèk yon sètifika siyati kòd ki valab. Move aktè yo petèt te antre nan konstriksyon an pipeline rive nan lane 2021 epi modifye lojisyèl la anvan yo pake l epi siyen l. Sa te premye so nan atak chèn ekipman an. Rive nan mwa mas 2022 sa te rapòte nan kontèks operasyon yo DreamJob aka BLINDINGCAN  ta dwe apwouve bèso tibebe w la epi AppleJeus, vize òganizasyon ki baze Ozetazini nan medya nouvèl, IT, kriptomonnen, ak endistri fintech.

Yo te retire lojisyèl sa a nan 2020 (!), men li te disponib pou telechaje depi 2022. Yon anplwaye 3CX te enstale li sou yon òdinatè pèsonèl. Malfektè yo te vòlè kalifikasyon antrepriz anplwaye a nan òdinatè ki te konpwomèt la. Sa ki enteresan, la VWALÈ SIYAL te itilize yon URL anba sitwèb Trading Technologies pou kòmand ak kontwòl (yon taktik yo souvan itilize pou evite deteksyon).

De jou apre premye konpwomi an, move aktè yo te itilize VPN antrepriz la pou jwenn aksè nan sistèm entèn 3CX yo. Yo te itilize proxy ranvèse FRP a, yon zouti piblik ki te ka itilize pou bon ak move, pou deplase lateralman. Yo te konnen ki sa pou yo fè ak pye yo te pran an: yo te konpwomèt sistèm konstriksyon Windows ak macOS yo. Chak anviwònman ak diferan zouti. Pa egzanp, yo te itilize zouti SigFlip la pou enjekte kòd shell chifreman RC4 la nan apendis siyati a nan... d3dcompiler_47.dll.

Mizajou lojisyèl pou aplikasyon 3CX Desktop pou Windows ak macOS te enfekte. Sa a te dezyèm etap nan atak (premye?) plizyè etap chèn ekipman sa a. Mizajou lojisyèl pou Windows la, ki te byen siyen tou ak yon sètifika siyati kòd 3CX, lage de dosye move, ffmpeg.dll  ta dwe apwouve bèso tibebe w la epi d3dcompiler_47.dll (ak ekivalan .dylib bibliyotèk pou macOS), ki te chaje epi egzekite pa sistèm benen an Aplikasyon Desktop 3CX ekzekisyon (via teknik chajman DLL bò). Kòd shell ki chiffres nan dezyèm DLL la chaje yon lòt DLL ki telechaje soti nan Depo Ikòn Repozitwa GitHub la se yon fichye .ico ki genyen sèvè Kòmand ak Kontwòl (C2) ki chiffres la.

Te gen plis pase 20 domèn ki te prevwa pou sa, sa ki di nou kijan atak chèn ekipman lojisyèl la te planifye ak anpil atansyon.

Koneksyon ant òdinatè viktim yo ak domèn C2 yo te kòmanse 06 mas 2023 epi yo te fini 29 mas.

Tanpri note ke (1) pa gen okenn kòd sous nan yon depo kòd ki te modifye men pito, yo te enjekte chaj malveyan an pandan konstriksyon an, (2) yon lejitim ffmpeg Yo te ranplase DDL la ak yon move epi yo te chaje l atravè yon chajman DLL bò kote, epi (3) yo te transfòme yon aplikasyon VoIP popilè an yon zam ak yon malveyan milti-etap.

Kijan yo te jere ensidan an

Sanble nan dat 29 mas la, 3CX te resevwa rapò nan men twazyèm pati ki pale de yon aktè malveyan ki t ap "eksplwate yon vilnerabilite nan pwodwi yo". Platfòm anti-malveyan yo te fè (an pati) travay yo.

Nan dat 30 mas 2023, 3CX la CISO, Pierre Jourdan, pibliye yon alèt sekirite pou enfòme kliyan ak patnè yo ke aplikasyon Electron yo (kliyan òdinatè) te vini apre yon mizajou ak malveyan. Pòs la bay lis vèsyon ki afekte yo (pou Windows ak Mac), yon ti deklarasyon sou mezi kontwòl inisyal yo te pran, ak yon rekòmandasyon rapid pou kontinye travay ak kliyan entènèt la olye de kliyan òdinatè ki kontamine a.

Nan opinyon mwen, premye kominikasyon an, byenke yon ti jan kout, te dirèk. Li pa fasil pou okenn vandè rekonèt ke gen yon pwoblèm sekirite grav ki potansyèlman afekte anpil kliyan. Konpayi an te rekonèt pwoblèm nan, epi li imedyatman montre yon koupab potansyèl:

"Li vo mansyone - sa a sanble te yon atak siblé ki soti nan yon Menas Pèsistan Avanse, petèt menm patwone pa leta, ki te fè yon atak konplèks sou chèn ekipman pou epi ki te chwazi ki moun ki t ap telechaje pwochen etap malveyan yo a."

Konpayi an te ofri yon altènativ pou pwodwi a kontinye fonksyone: Pou itilize Pwogresis entènèt App oubyen PWA, olye aplikasyon òdinatè a, ki baze sou Elèktron fondasyon.

"Nou sijere fòtman pou ou itilize aplikasyon PWA nou an pito. Aplikasyon PWA a baze nèt sou entènèt epi li fè 95% nan sa aplikasyon Electron nan fè. Avantaj la se ke li pa bezwen okenn enstalasyon oswa mizajou, epi sekirite entènèt Chrome aplike otomatikman."

Rezon ki fè nou gen de aplikasyon se paske lè nou te kòmanse aplikasyon Electron nan, teknoloji PWA a pa t disponib ankò. Kounye a li gen matirite epi li ap mache vrèman byen.

Oke, aplikasyon entènèt la kapab enfekte tou, epi yon PWA pa definisyon ka egzekite kòd nan travayè sèvis yo (kòd JavaScript) avèk aksè (restriksyon) nan resous lokal yo. Pòs la te deklare ke PWA a pa t enfekte nan moman sa a. Nou ka konprann poukisa, nan anpil nan plis pase 277 kòmantè yo nan pòs la, gen kèk moun ki te mande si altènatif PWA yo mansyone a oswa lojisyèl sèvè PBX la li menm te konpwomèt.

Menm jou a, 3CX nonmen Mandiant pou envestigasyon, ak plis enstriksyon. An jeneral, li enstale yon aktyalizasyon pou

Aplikasyon Desktop Win/Mac la lè w ap enstale l sou plas, epi dezenstale aplikasyon Electron nan pou vèsyon ki afekte yo, epi ale nan altènatif PWA a. Sa pa nesesèman ase, paske malveyan an ka gen aksè a sistèm ki afekte yo, malveyan an ka pèsiste, oswa menm deplase lateralman. Retire malveyan an nèt pa tèlman fasil. Nou ka konprann ke, lè nou konsidere ijans lan, pi bon fason pou jere yon ensidan pa toujou jwenn... sof si yo te imajine senaryo a anvan epi yo te idantifye mezi remèd apwopriye yo.

The pòs sa a, Kounye a, PDG konpayi an ap eseye rasire kliyan yo ak anons yon mizajou sekirite sèlman pou DesktopApp la. Yo te aplike kèk teknik pwoteksyon debaz, tankou hachage modpas ("Pi bon pase pa janm an reta; pa janm reyisi ta yon peryòd twò long.", Chaucer te di an 1386.) Pwoteksyon espesifik ki aplike pi bon pase bon entansyon ak plan prevwa... Men, kijan yo te estoke modpas yo anvan?

De tout fason, Google te anile sètifika siyati kòd 3CX ki te egziste a epi vandè antivirus yo te bloke tou nenpòt lojisyèl ki te siyen ak sètifika sa a. Enstalatè MSI yo pou aktyalizasyon DesktopApp la te bezwen rejenerasyon ak yon nouvo sètifika siyati kòd, sa ki te pran kèk èdtan. Sa te ka previzib!

3CX te deplwaye yon nouvo sèvè an prevansyon. Sa rezonab: san analiz, yo pa t konnen kijan yo te enjekte malveyan an.

Menm 1ye avril la, PDG a te poste yon Mizajou sou Ensidan SekiritePòs la di sa konpayi an t ap fè (mennen yon ankèt konplè, epi valide tout kòd sous lojisyèl bò kliyan an). Sekirite pa ka tann menm nan samdi.

Lè yo te analize ensidan an epi yo te konnen enfrastrikti atakè a, yo te retire depo GitHub la ak domèn sèvè C2 ke APT a te itilize yo, sa ki te efektivman elimine malveyan an.

Sou Avril 11th, la CISO te poste a premye rezilta analiz ensidan an. Yo te site APT UNC4736 ki lye ak Kore di Nò a an premye.

Vandredi 20 avril la, Mandiant te poste... premye analiz sou ensidan anYo pibliye règ deteksyon YARA ak Snort yo.

Menm jou a, PDG 3CX la te poste yon nouvo pòs, ak non sijestif la "Aksyon, pa pawòl - Plan Aksyon Sekirite 7 Etap nou an!"Soutit la byen enteresan: “Pwoteje lavni 3CX apre yon kaskad san parèy. atak chèn ekipman lojisyèl-an-lojisyèl"Men etap ki nan dokiman sekirite ki te ekri a:

• Ranfòse plizyè kouch sekirite rezo a.

• Renouvèlman an bati sekirite.

• Revizyon sekirite pwodwi kontinyèl.

• Amelyore karakteristik sekirite pwodwi yo.

• Fè tès penetrasyon kontinyèl.

• Rafinman plan jesyon kriz ak jesyon alèt yo.

• Etabli yon nouvo depatman pou operasyon rezo ak sekirite.

Analist yo pral gen yon je sou pwogram sa a ki merite lwanj, vreman vre...

Konsekans: Kijan endistri a te reyaji

Se sèlman kèk semèn ki pase depi yo te pibliye ensidan an. Men, endistri a ap reyaji.

CVE-2023-29059 te asiyen. Jiska jounen jodi a, li gen yon nòt risk CVSSv3 7.8 (WO). Pwodwi 3CX yo gen sèlman 16 CVE ki nan lis, sa ki sanble bon lè yo konpare ak vandè ki gen nivo aplikasyon menm jan an. Men, ensidan sa a pa vilnerabilite abityèl la vreman vre. Sa a se yon atak aktif siblé pa yon Menas Pèsistan Aktif (APT), kòm la CISO a pi rekonèt.

The CWE-506 "Kòd move entegre" ki klase ensidan sa a pa ede nou anpil pou konprann kijan pou anpeche atak chèn ekipman lojisyèl sa yo. Malerezman, mechan yo gen anpil mwayen pou distribye malveyan, ak atak chèn ekipman yo kòm nouvo bijou kouwòn nan asenal yo. CWE-506 ta dwe amelyore pou reflete senaryo aktyèl yo, tankou sa yo ki baze sou vyolasyon sistèm konstriksyon an.

APT a, ke Mandiant te rele UNC4736, itilize taktik ak teknik menm jan ak Lazarus Group (APT38) ki byen koni an, ke Leta Kore di Nò a te kreye, epi ki te otè kanpay ransomware WannaCry an 2017 la. Li difisil pou etabli lyen sa yo ant move aktè nan eta Stalinis yo ki gen lè travay regilye, men chèchè ki soti nan... CrowdStrike  ta dwe apwouve bèso tibebe w la epi ESET te jwenn ke taktik, teknik ak pwosedi (TTP) yo itilize yo sanble ak sa yo Lazarus APT38 itilize souvan. Konprann kijan yo fonksyone esansyèl pou deteksyon, prevansyon ak eradikasyon.

Konnen objektif yo, ki antoure nan mistè, se pi difisil toujou.

Atak sa a tèlman enpòtan ke CISA, Ajans Sekirite Sibernetik Etazini an, te pibliye yon konsiltatif avèk piblikasyon vandè yo ak lyen ki mennen nan plizyè analiz sou atak chèn ekipman an. Li enpòtan pou pratikan sekirite sibernetik yo li yo.

Ensidan an fè nou sonje atak SolarWinds la. Etandone gwo enpak la, anpil vandè te prese analize enstalatè pwodwi VoIP Desktop ki te enfekte yo. Men, sa a se dènye etap la. Nou bezwen plis detay pou nou konprann sa ki te echwe ak sekirite sistèm konstriksyon de òganizasyon ki afekte yo, ak ki etap move aktè yo te pran pou afekte sistèm konstriksyon sa yo epi ki te reyisi mete malveyan an pandan konstriksyon an. Sinon, ensidan sa a ap repete ankò e ankò.

Epi kounye a, leson yo aprann!

Jwe yon espò an ekip epi koute yon moun nan ekip ou a ap eksplike chak defo nan jwèt la apre sa kraze lespri ki pi kole a. Men isit la nan peyi Espay, tout moun se antrenè foutbòl nasyonal! Kite m aji kòm Pep Guardiola, José Mourinho, Alex Ferguson, ak Arrigo Sacchi tout ansanm.

Aji kòmsi sistèm konstriksyon ou an anba gwo dife zam.Petèt ou pa ka anpeche yon anplwaye enstale lojisyèl san otorizasyon sou òdinatè travay yo. Pwobableman, ekip enjenyè yo ka mande règleman ki pi strik. Men, rete vijilan sou konstriksyon ak deplwaman an. pipelineSi w ap delivre lojisyèl bay kliyan, sekirite sou fason w ap konstwi lojisyèl la ta dwe enpòtan menm jan ak sekirite pwodwi lojisyèl la.

Preparasyon pou ensidanLi difisil, petèt steril, pou antisipe senaryo ki pi pwobab pou ensidan sekirite yo. Èske mwen ta dwe aprann sèvi ak yon defibrilatè? Non, sof si mwen gen tandans pou itilize kat.iac arestasyon. Men, pou lanmou Bondye! Prepare w pou "rebati konstriksyon w lan" depi nan grate, avèk anilasyon + renouvèlman kle yo, jeton aksè yo, pè kle piblik yo, ak sètifika yo.

Sistèm konstriksyon yo dwe gen sèten karakteristikTandans aktyèl la anvè konstriksyon nan anviwònman efemèr, epi avèk izole/san paramèt/èmetik e menm repwodiktib ta ka kad la pou anpeche atak tankou sa ki te fèt sou atak chèn ekipman 3CX la lè yo konplete l ak egzijans adisyonèl sou lòt sistèm nan pwosesis konstriksyon ak deplwaman an. pipeline. Al gade nan Kondisyon konstriksyon Google SLSA yo pou referans.

Bon kominikasyon enpòtan anpilTransparans obligatwa. Minimize pwoblèm nan, oubyen kache l anba tapi a se pi move bagay nenpòt òganizasyon ka fè. Ensidan sekirite yo souvan afekte repitasyon moun nan pi plis pase lòt byen yo, epi move kominikasyon apre vyolasyon an ka katastwofik.

Transfòme pwoblèm yo an opòtiniteYon bon ensidan ka deklanche amelyorasyon nan kontwòl sekirite ki pa t janm jwenn plas yo nan plan pwodwi strik la. Menm bagay esansyèl tankou bon jan hachage modpas, ak konfigirasyon sekirite / dokimantasyon ranfòsman yo te ka pwograme pou kout tèm. Men, pou atak chèn ekipman pou, ranfòse sistèm konstriksyon yo, epi ajoute atestasyon ak verifikasyon entegrite nan chak etap nan konstriksyon ak deplwaman an. pipelines yo esansyèl. Li pa ta dwe fasil pou yon atakè enplante chanjman sa yo nan sistèm konstriksyon an.

Prepare w. Sinon, òganizasyon w lan ka fè fas ak yon menas egzistansyèl, tankou atak chèn ekipman lojisyèl 3cx la.