מתקפת שרשרת האספקה ​​של 3CX: לקחים שנלמדו

הגורמים הרעים פרצו תחילה חבילת תוכנה, X_TRADER, מחברה בשם טכנולוגיות מסחר שבסיסה בשיקגו, אילינוי. התוכנה הכילה תוכנה זדונית ( אות רעול דלת אחורית) הוזרקה. המתקין נחתם דיגיטלית עם אישור חתימת קוד תקף. ייתכן שגורמים זדוניים פרצו לבנייה pipeline עד 2021 ושינו את התוכנה לפני שהיא נארזת ונחתמת. זו הייתה הקפיצה הראשונה במתקפת שרשרת האספקה ​​המשורשרת. עד מרץ 2022 זה היה דיווח בהקשר של פעולות דרימג'וב הידוע גם כ-BLINDINGCAN ו AppleJeus, המכוון לארגונים אמריקאים בתעשיות התקשורת, ה-IT, המטבעות הקריפטוגרפיים והפינטק.

תוכנה זו יצאה משימוש בשנת 2020 (!), אך היא הייתה זמינה להורדה החל משנת 2022. עובד של 3CX התקין אותה על מחשב אישי. הרעים גנבו את פרטי הגישה הארגוניים של העובד מהמחשב שנפרץ. מעניין לציין, ש... אות רעול השתמשו בכתובת URL מתחת לאתר האינטרנט של Trading Technologies לצורך שליטה ובקרה (טקטיקה המשמשת לעתים קרובות כדי להימנע מגילוי).

יומיים לאחר הפריצה הראשונית, הגורמים הרעים השתמשו ב-VPN הארגוני כדי לגשת למערכות הפנימיות של 3CX. הם השתמשו ב-FRP reverse proxy, כלי ציבורי שניתן להשתמש בו לטוב ולרע, כדי לנוע לרוחב. הם ידעו מה לעשות עם דריסת הרגל שנרכשה: הם פרצו את מערכות הבנייה של Windows ו-macOS. כל סביבה עם כלים שונים. לדוגמה, הם השתמשו בכלי SigFlip כדי להזריק את קוד המעטפת המוצפן ב-RC4 לתוך נספח החתימה של... d3dcompiler_47.dll.

עדכוני תוכנה עבור אפליקציית 3CX Desktop עבור Windows ו-macOS נדבקו. זו הייתה הקפיצה השנייה במתקפת שרשרת האספקה ​​הרב-שלבית (הראשונה?) הזו. עדכון התוכנה עבור Windows, שגם הוא חתום כראוי עם אישור חתימת קוד של 3CX, משליך שני קבצים זדוניים, ffmpeg.dll ו d3dcompiler_47.dll (עם שווה ערך .dylib ספריות עבור macOS), אשר נטענו והופעלו על ידי השפיר אפליקציית 3CXDesktop קובץ הרצה (באמצעות טכניקת טעינת DLL צדדית). קוד המעטפת המוצפן ב-DLL השני טוען קובץ DLL נוסף שמורד מ- אחסון אייקונים מאגר GitHub קובץ .ico המכיל את שרת הפיקוד והבקרה (C2) המוצפן.

היו מעל 20 דומיינים שהוקצו לכך, מה שמספר לנו כיצד תוכננה בקפידה מתקפת שרשרת האספקה ​​של התוכנה.

חיבורים ממחשבי הקורבנות לדומייני C2 החלו ב-06 במרץ 2023 והסתיימו ב-29 במרץ.

שימו לב ש-(1) לא שונה קוד מקור במאגר הקוד, אלא במקום זאת, מטען התוכנה הזדונית הוזרק במהלך הבנייה, (2) תוכנה לגיטימית ffmpeg DDL הוחלף בתוכנה זדונית ונטען באמצעות טעינת DLL צדדית, ו-(3) אפליקציית VoIP פופולרית הפכה לנשק עם תוכנה זדונית רב-שלבית.

כיצד טופל האירוע

נראה שב-29 במרץ 3CX קיבלה דיווחים מצדדים שלישיים על גורם זדוני "שמנצל פגיעות במוצר שלהם". פלטפורמות אנטי-וירוס עשו (חלקית) את עבודתן.

ב-30 במרץ 2023, ה-3CX CISאו, פייר ז'ורדן, פרסם אזעקת אבטחה הודעה ללקוחות ולשותפים שאפליקציית Electron שלהם (לקוח שולחן עבודה) נשלחה לאחר עדכון עם תוכנה זדונית. הפוסט מפרט את הגרסאות המושפעות (עבור Windows ו-Mac), הצהרה קצרה על אמצעי הבלימה הראשוניים שננקטו, והמלצה מהירה להמשיך לעבוד עם לקוח האינטרנט במקום לקוח שולחן העבודה הנגוע.

לדעתי, התקשורת הראשונית, למרות שהייתה מעט תמציתית, הייתה עניינית. לא קל לספק לזהות שיש בעיית אבטחה חמורה שעלולה להשפיע על לקוחות רבים. החברה זיהתה את הבעיה, ומיד הצביעה על גורם פוטנציאלי:

"ראוי להזכיר - נראה שזו הייתה מתקפה ממוקדת מצד איום מתמשך מתקדם, אולי אפילו בחסות מדינה, שהפעיל מתקפת שרשרת אספקה ​​מורכבת ובחר מי יוריד את השלבים הבאים של התוכנה הזדונית שלו."

החברה הציעה אלטרנטיבה כדי שהמוצר ימשיך לפעול: להשתמש ב- אפליקציית אינטרנט מתקדמת או PWA, במקום אפליקציית שולחן העבודה, בהתבסס על ה- אֶלֶקטרוֹן מסגרת.

"אנו ממליצים בחום להשתמש באפליקציית PWA שלנו במקום זאת. אפליקציית PWA מבוססת לחלוטין על האינטרנט ועושה 95% ממה שאפליקציית Electron עושה. היתרון הוא שהיא אינה דורשת התקנה או עדכון, ואבטחת האינטרנט של Chrome מוחלת באופן אוטומטי."

הסיבה שיש לנו שתי אפליקציות היא שכאשר התחלנו את אפליקציית Electron, טכנולוגיית PWA עדיין לא הייתה זמינה. עכשיו היא בוגרת ועובדת ממש טוב."

ובכן, גם אפליקציית האינטרנט עלולה להיות נגועה, ו-PWA מעצם הגדרתו עשוי להריץ קוד ב-service workers (קוד JavaScript) עם גישה (מוגבלת) למשאבים מקומיים. הפוסט טען ש-PWA לא היה נגוע באותו זמן. אנו יכולים להבין מדוע, ברבות מ-277+ התגובות לפוסט, חלק שאלו האם חלופת ה-PWA שהוזכרה או תוכנת שרת המרכזייה עצמה נפגעה.

באותו היום, 3CX מינתה את מנדיאנט לחקירה, עם הוראות נוספות. בעיקרון, זה יתקין עדכון עבור

הסר את אפליקציית שולחן העבודה של Win/Mac בהתקנה מקומית, והסר את התקנת אפליקציית האלקטרון עבור הגרסאות המושפעות, ועבור לחלופת PWA. זה לא בהכרח מספיק, מכיוון שהתוכנה הזדונית עשויה לקבל גישה למערכות מושפעות, לשמור על התוכנה הזדונית, או אפילו לנוע לרוחב. הסרה מלאה של תוכנה זדונית אינה כה קלה. אנו יכולים להבין שבהינתן הדחיפות, הדרך הטובה ביותר להתמודד עם אירוע לא תמיד נמצאת... אלא אם כן התרחיש תוכנן מראש וזוהו אמצעי תיקון מתאימים.

השמיים ההודעה הבאה, כעת, על ידי מנכ"ל החברה, מנסה להרגיע את הלקוחות עם הכרזה על עדכון אבטחה בלבד עבור אפליקציית שולחן העבודה. כמה טכניקות הגנה בסיסיות, כמו גיבוב סיסמאות, יושמו ("כי עדיף מאשר לעולם לא מאוחר; לעולם לא להצליח יהיה זמן רב מדי.", צ'וסר דיקסיט בשנת 1386.) הגנות ספציפיות ומיושמות עדיפות על כוונות טובות ותוכניות מתוכננות... אבל כיצד אוחסנו סיסמאות בעבר?

בכל מקרה, גוגל ביטלה את תעודת חתימת הקוד הקיימת של 3CX וגם ספקי אנטי-וירוס חסמו כל תוכנה שנחתמה עם תעודה זו. היה צורך ליצור מחדש את מתקיני MSI עבור עדכון DesktopApp עם תעודת חתימת קוד חדשה, מה שלקח כמה שעות. זה היה צפוי!

3CX פרסה באופן מונע שרת חדש. זה סביר: ללא ניתוח, לא היה ידוע כיצד הוזרקה התוכנה הזדונית.

באותו 1 באפריל, פרסם המנכ"ל עדכון אירוע אבטחההפוסט מתאר מה החברה עשתה (ערכה חקירה מלאה, ואימות קוד המקור המלא של תוכנת צד הלקוח). אבטחה לא יכולה לחכות אפילו בשבתות.

כאשר נותח האירוע והתשתית של התוקף נודעה, הוסרו מאגר GitHub והדומיינים עבור שרתי C2 שבהם השתמש ה-APT, ובכך למעשה הסירו את התוכנה הזדונית.

בחודש אפריל 11th, CISO פרסם את תוצאות ראשוניות מניתוח האירוע. ה-APT המקושר לצפון קוריאה UNC4736 צוטט לראשונה.

ביום שישי ה-20 באפריל, פרסם מנדיאנט את ניתוח ראשוני של האירועפורסמו כללי YARA וזיהוי Snort.

באותו יום, מנכ"ל 3CX פרסם פוסט חדש, עם השם המרמז "מעשים, לא מילים - תוכנית הפעולה שלנו לאבטחה בת 7 שלבים!"כותרת המשנה די מעניינת: "אבטחת עתיד 3CX לאחר חידוש מדורגים, ראשון מסוגו מתקפת שרשרת אספקה ​​של תוכנה בתוך תוכנהשלבי אמנת הביטחון שנוסחה הם:

• הקשחת שכבות מרובות של אבטחת רשת.

• שיפוץ בונה ביטחון.

• סקירת אבטחת מוצר מתמשכת.

• שיפור תכונות אבטחת המוצר.

• ביצוע בדיקות חדירה שוטפות.

• חידוד תוכנית ניהול משברים וטיפול בהתרעות.

• הקמת מחלקה חדשה לתפעול ואבטחת רשת.

האנליסטים ישימו עין על התוכנית הראויה לשבח הזו, אכן...

השלכות: כיצד הגיבה התעשייה

רק כמה שבועות חלפו מאז פרסום התקרית. אבל התעשייה מגיבה.

CVE-2023-29059 הוקצה. נכון להיום, יש לו ציון סיכון של 7.8 (גבוה) ב-CVSSv3. למוצרי 3CX יש רק 16 CVEs רשומים, מה שנראה טוב בהשוואה לספקים עם רמות יישום דומות. אבל אירוע זה אינו הפגיעות הרגילה אכן. זוהי מתקפה אקטיבית ממוקדת על ידי איום אקטיבי מתמשך (APT), שכן ה- CISהמוכר ביותר של O.

השמיים CWE-506 "קוד זדוני מוטמע" שמסווג את האירוע הזה לא עוזר לנו הרבה להבין כיצד למנוע מתקפות כאלה על שרשרת האספקה ​​של תוכנה. לרוע המזל, לרעים יש דרכים רבות להעביר תוכנות זדוניות, כאשר מתקפות שרשרת האספקה ​​הן היהלום החדש בכתר שלהם. יש לשפר את CWE-506 כדי לשקף את התרחישים הנוכחיים, כולל אלה המבוססים על פריצה למערכת הבנייה.

ה-APT, ששמה UNC4736 על ידי Mandiant, משתמש בטקטיקות וטכניקות דומות לקבוצת Lazarus (APT38) הידועה, שנבנתה על ידי מדינת צפון קוריאה, ולמבצעי קמפיין הכופר WannaCry בשנת 2017. קשרים כאלה בין גורמים פושעים במדינות סטליניסטיות עם שעות עבודה קבועות קשים לזיהוי, אך חוקרים מ... שביתת קהל ו ESET מצא כי הטקטיקות, הטכניקות והנהלים (TTPs) בהם נעשה שימוש דומים לאלה הנפוצים בשימוש על ידי Lazarus APT38. הבנת אופן פעולתם חיונית לגילוי, מניעה והשמדה.

הכרת מטרותיהם, אפוף מסתורין, קשה אף יותר.

ההתקפה הזו חשובה מספיק כדי CISA, סוכנות הסייבר של ארה"ב, פרסמה ייעוץ עם פוסטים של ספקים וקישורים לניתוחים מרובים על מתקפת שרשרת האספקה. קריאתם רלוונטית לאנשי מקצוע בתחום אבטחת הסייבר.

התקרית מזכירה לנו את מתקפת SolarWinds. בהתחשב בהשפעה העצומה, ספקים רבים מיהרו לנתח את מתקיני מוצרי ה-VoIP השולחניים הנגועים. אך זהו הצעד האחרון. יש צורך בפרטים נוספים כדי להבין מה נכשל באבטחת מערכות הבנייה של שני הארגונים שנפגעו, ואילו צעדים נקטו הגורמים הרעים כדי להשפיע על מערכות הבנייה הללו ולהכניס את התוכנה הזדונית במהלך הבנייה. אחרת, התקרית תחזור על עצמה שוב ושוב.

ועכשיו, לקחים נלמדו!

לשחק ספורט קבוצתי, להקשיב למישהו בקבוצה שלך מסביר כל פגם במשחק בדקה אחר כך, מנפץ את הרוח הכי רגועה. אבל כאן בספרד, כולם מאמני כדורגל לאומיים! אז הרשו לי לשחק את פפ גווארדיולה, חוסה מוריניו, אלכס פרגוסון ואריגו סאקי, כולם ביחד.

התנהגו כאילו מערכת הבנייה שלכם נמצאת תחת אש ארטילרית כבדהייתכן שאינך יכול למנוע מעובד להתקין תוכנה לא מורשית על מחשבי העבודה. סביר להניח שצוותי הנדסה ידרשו מדיניות מחמירה יותר. אך היו ערניים בבנייה ובפריסה. pipelineאם אתם מספקים תוכנה ללקוחות, אבטחת אופן בניית התוכנה צריכה להיות חשובה לא פחות מאבטחת מוצר התוכנה.

מוכנות לאירועיםקשה, אולי אפילו עקר, לצפות את התרחישים הסבירים ביותר לאירועי אבטחה. האם עליי ללמוד להשתמש בדפיברילטור? לא, אלא אם כן אני חי עם נטייה לכרטיסיםiac מעצר. אבל למען השם! היו מוכנים "לבנות מחדש את הבנייה שלכם" מאפס, עם ביטול + חידוש של מפתחות, אסימוני גישה, זוגות מפתחות ציבוריים ותעודות.

מערכות בנייה חייבות להיות בעלות מאפיינים מסוימיםהמגמה הנוכחית של בניית סביבות ארעיות, ועם סביבות מבודדות/חסרות פרמטרים/הרמטיות ואף ניתנות לשחזור, יכולה להיות המסגרת ל... למנוע מתקפות כמו זו על 3CX Supply Chain Attack, כאשר הן משלימות דרישות נוספות ממערכות אחרות בבנייה ופריסה. pipeline. לראות דרישות הבנייה של גוגל SLSA להשוואה.

תקשורת נכונה היא המפתחשקיפות היא חובה. מזעור הבעיה, או הסתרתה מתחת לשטיח, הוא הדבר הגרוע ביותר שארגון יכול לעשות. אירועי אבטחה פוגעים לעתים קרובות חזק יותר במוניטין מאשר בנכסים אחרים, ותקשורת לקויה לאחר הפריצה עלולה להיות קטסטרופלית.

להפוך בעיות להזדמנויותתקרית טובה יכולה להוביל לשיפורים בבקרות אבטחה שמעולם לא מצאו את דרכם לתוכנית המוצר הצפופה. אפילו דברים חיוניים כמו גיבוב סיסמאות נכון ותיעוד תצורה/הקשחת אבטחה יכולים להיות מתוכננים לטווח קצר. אבל עבור מתקפות שרשרת אספקה, הקשחת מערכות הבנייה והוספת אימותים ובדיקות שלמות בכל שלב של הבנייה והפריסה. pipelineחיוניים. לא אמור להיות קל כל כך לתוקף להטמיע שינויים כאלה במערכת הבנייה.

היו מוכנים. אחרת, הארגון שלכם עלול להתמודד עם איום קיומי, כמו מתקפת שרשרת האספקה ​​של תוכנת 3cx.