პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის შეტევების ანალიზი
3CX არის ცნობილი კომპანია, რომელიც VoIP და გაერთიანებული კომუნიკაციების პროდუქტებს სთავაზობს მომხმარებელს. ისინი აცხადებენ, რომ 600 000-ზე მეტი ინსტალაცია და 12 მილიონი ყოველდღიური მომხმარებელი აქვთ. უდავოდ, ეს არის მავნე მოთამაშეების მაცდური სამიზნე.
მარტის ბოლოსთვის, 3CX-მა განიცადა 3CX Supply Chain Attack, დახვეწილი პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის შეტევა, რომელმაც მოახერხა მავნე პროგრამის შეყვანა მათ სამუშაო მაგიდის პროგრამულ უზრუნველყოფაში. მავნე პროგრამის მიზანია ინფორმაციის მოპარვა, მაგრამ ასევე უშვებს უკანა კარს.
ამ პოსტში ჩვენ განვიხილავთ მიწოდების ჯაჭვზე თავდასხმას, მოვლენების თანმიმდევრობას სხვადასხვა თვალსაზრისით. ამ პროცესში, შესაძლოა, გაიგეთ, როგორ შეიძლება შეტევის დაბლოკვა ან შემსუბუქება.
სარჩევი
როგორ განხორციელდა თავდასხმა
ბოროტმოქმედებმა თავდაპირველად კომპრომეტირება გაუკეთეს კომპანიის პროგრამულ პაკეტს, X_TRADER-ს. სავაჭრო ტექნოლოგიები შტაბ-ბინა ჩიკაგოში, ილინოისის შტატში მდებარეობს. პროგრამულ უზრუნველყოფას მავნე პროგრამა ჰქონდა ( VEILEDSIGNAL backdoor) შეყვანილია. ინსტალერი ციფრულად იყო ხელმოწერილი მოქმედი კოდის ხელმოწერის სერტიფიკატით. შესაძლოა, არაკეთილსინდისიერმა პირებმა შეაღწიეს ბილდში. pipeline 2021 წლისთვის და პროგრამული უზრუნველყოფის შესწორება მის შეფუთვამდე და ხელმოწერამდე. ეს იყო პირველი ნახტომი ჯაჭვური მიწოდების ჯაჭვის შეტევაში. 2022 წლის მარტისთვის ეს იყო იტყობინება ოპერაციების კონტექსტში DreamJob, იგივე BLINDINGCAN მდე AppleJeus, რომელიც მიზნად ისახავს აშშ-ში დაფუძნებულ ორგანიზაციებს საინფორმაციო მედიის, IT, კრიპტოვალუტისა და ფინტექ ინდუსტრიებში.
ეს პროგრამული უზრუნველყოფა 2020 წელს (!) გაუქმდა, მაგრამ მისი ჩამოტვირთვა 2022 წლიდან იყო შესაძლებელი. 3CX-ის თანამშრომელმა ის პერსონალურ კომპიუტერზე დააინსტალირა. ბოროტმოქმედებმა თანამშრომლის კორპორატიული სერთიფიკატები მოიპარეს კომპრომეტირებული კომპიუტერიდან. საინტერესოა, რომ VEILEDSIGNAL ბრძანებისა და კონტროლისთვის გამოიყენეს Trading Technologies-ის ვებსაიტის URL (ტაქტიკა, რომელიც ხშირად გამოიყენება გამოვლენის თავიდან ასაცილებლად).
თავდაპირველი კომპრომეტირების შემდეგ ორი დღის შემდეგ, ბოროტმოქმედმა პირებმა კორპორატიული VPN გამოიყენეს 3CX-ის შიდა სისტემებზე წვდომისთვის. მათ გამოიყენეს FRP უკუ პროქსი, საჯარო ინსტრუმენტი, რომლის გამოყენებაც შეიძლებოდა როგორც კარგი, ასევე ცუდი მიზნებისთვის, გვერდითი გადაადგილებისთვის. მათ იცოდნენ, რა ექნათ მოპოვებული პოზიციით: ისინი საფრთხეს უქმნიდნენ Windows-ის და macOS-ის აწყობის სისტემებს. თითოეულ გარემოს განსხვავებული ინსტრუმენტები ჰქონდა. მაგალითად, მათ გამოიყენეს SigFlip ინსტრუმენტი RC4-შიფრული shellcode-ის შეყვანისთვის ხელმოწერის დანართში. d3dcompiler_47.dll.
Windows-ისა და macOS-ისთვის განკუთვნილი 3CX Desktop აპლიკაციის პროგრამული უზრუნველყოფის განახლებები დაინფიცირდა. ეს იყო მეორე ნახტომი ამ (პირველი?) მრავალსაფეხურიანი მიწოდების ჯაჭვის შეტევის ფარგლებში. Windows-ის პროგრამული უზრუნველყოფის განახლება, რომელიც ასევე სათანადოდ არის ხელმოწერილი 3CX კოდის ხელმოწერის სერტიფიკატით, ტოვებს ორ მავნე ფაილს, ffmpeg.dll მდე d3dcompiler_47.dll (ეკვივალენტურით .dylib macOS-ის ბიბლიოთეკები), რომლებიც ჩაიტვირთა და შესრულდა კეთილთვისებიანი პროგრამის მიერ 3CXDesktopApp შესრულებადი ფაილი (გვერდითი DLL ჩატვირთვის ტექნიკის საშუალებით). მეორე DLL-ში დაშიფრული shellcode იტვირთება სხვა DLL-დან, რომელიც იტვირთება IconStorages GitHub-ის საცავი არის .ico ფაილი, რომელიც შეიცავს დაშიფრულ Command and Control (C2) სერვერს.
ამისთვის 20-ზე მეტი დომენი იყო გათვალისწინებული, რაც გვეუბნება, თუ როგორ იყო პროგრამული უზრუნველყოფის მიწოდების ჯაჭვზე შეტევა ფრთხილად დაგეგმილი.
მსხვერპლთა კომპიუტერებიდან C2 დომენებთან დაკავშირება 2023 წლის 06 მარტს დაიწყო და 29 მარტს დასრულდა.
გთხოვთ გაითვალისწინოთ, რომ (1) კოდის საცავში საწყისი კოდი არ შეცვლილა, სამაგიეროდ, შექმნის დროს მავნე პროგრამა იქნა შეყვანილი, (2) ლეგიტიმური ffmpeg DDL შეიცვალა მავნე პროგრამით და ჩაიტვირთა გვერდითი DLL ჩატვირთვის გზით, ხოლო (3) პოპულარული VoIP აპლიკაცია გადაიქცა მრავალსაფეხურიანი მავნე პროგრამის იარაღად.
როგორ მოხდა ინციდენტის მოგვარება
როგორც ჩანს, 29 მარტს 3CX-მა მესამე მხარისგან მიიღო შეტყობინებები მავნე აქტორის შესახებ, რომელიც „მათ პროდუქტში არსებულ დაუცველობას“ იყენებდა. ანტი-მავნე პლატფორმებმა (ნაწილობრივ) თავიანთი საქმე შეასრულეს.
2023 წლის 30 მარტს, 3CX-მა... CISო, პიერ ჟურდანმა გამოაქვეყნა უსაფრთხოების განგაში მომხმარებლებისა და პარტნიორების ინფორმირება, რომ მათი Electron აპლიკაცია (დესკტოპის კლიენტი) გაიგზავნა მავნე პროგრამით განახლების შემდეგ. პოსტში ჩამოთვლილია დაზარალებული ვერსიები (Windows-ისა და Mac-ისთვის), მოკლე განცხადება მიღებული საწყისი შეკავების ზომების შესახებ და მოკლე რეკომენდაცია, გააგრძელონ მუშაობა ვებ კლიენტთან, დაბინძურებული დესკტოპის კლიენტის ნაცვლად.
ჩემი აზრით, საწყისი კომუნიკაცია, თუმცა ცოტა ლაკონური, საკმაოდ კონკრეტული იყო. არცერთი გამყიდველისთვის ადვილი არ არის იმის აღიარება, რომ არსებობს სერიოზული უსაფრთხოების პრობლემა, რომელიც პოტენციურად ბევრ მომხმარებელზე ახდენს გავლენას. კომპანიამ პრობლემა აღიარა და მაშინვე მიუთითა პოტენციურ დამნაშავეზე:
„აღსანიშნავია - როგორც ჩანს, ეს იყო მიზანმიმართული შეტევა Advanced Persistent Threat-ის მხრიდან, შესაძლოა, სახელმწიფოს მიერაც კი დაფინანსებული, რომელმაც განახორციელა კომპლექსური მიწოდების ჯაჭვის შეტევა და შეარჩია, თუ ვინ ჩამოტვირთავდა მათი მავნე პროგრამის შემდეგ ეტაპებს.“
კომპანიამ პროდუქტის მუშაობის შესანარჩუნებლად ალტერნატივა შესთავაზა: გამოყენება პროგრესული ვებ აპლიკაცია ან PWA, დესკტოპის აპლიკაციის ნაცვლად, დაფუძნებული Electron ჩარჩო.
„ჩვენ გირჩევთ, რომ ამის ნაცვლად გამოიყენოთ ჩვენი PWA აპლიკაცია. PWA აპლიკაცია მთლიანად ვებ-ზე დაფუძნებულია და Electron აპლიკაციის ფუნქციების 95%-ს ასრულებს. უპირატესობა ის არის, რომ ის არ საჭიროებს ინსტალაციას ან განახლებას და Chrome-ის ვებ-უსაფრთხოება ავტომატურად გამოიყენება.“
ორი აპლიკაციის არსებობის მიზეზი ის არის, რომ როდესაც Electron აპლიკაცია დავიწყეთ, PWA ტექნოლოგია ჯერ არ იყო ხელმისაწვდომი. ახლა ის უკვე განვითარებულია და ძალიან კარგად მუშაობს.“
შესაძლოა, ვებ-აპლიკაციაც იყოს ინფიცირებული და PWA-მ, განმარტების თანახმად, შეიძლება გაუშვას კოდი სერვის მუშაკებში (JavaScript კოდი) ადგილობრივ რესურსებზე (შეზღუდული) წვდომით. პოსტში ნათქვამი იყო, რომ PWA იმ დროს ინფიცირებული არ იყო. ჩვენ შეგვიძლია გავიგოთ, თუ რატომ იკითხებოდა პოსტზე გამოქვეყნებული 277+ კომენტარიდან ბევრში, რომლებშიც ზოგიერთმა იკითხა, იყო თუ არა კომპრომეტირებული ნახსენები PWA ალტერნატივა თუ თავად PBX სერვერის პროგრამული უზრუნველყოფა.
Იგივე დღე, 3CX-მა გამოძიების მანდატი დანიშნა, დამატებითი ინსტრუქციებით. ძირითადად, ის აინსტალირებს განახლებას
Win/Mac Desktop App-ის ინსტალაცია ადგილზე და დაზიანებული ვერსიებისთვის Electron აპლიკაციის დეინსტალაცია და PWA ალტერნატივაზე გადასვლა. ეს აუცილებლად საკმარისი არ არის, რადგან მავნე პროგრამას შეიძლება ჰქონდეს წვდომა დაზარალებულ სისტემებზე, შეინარჩუნოს მავნე პროგრამა ან თუნდაც გადაადგილდეს გვერდზე. მავნე პროგრამის სრული მოცილება არც ისე ადვილია. ჩვენ შეგვიძლია გვესმოდეს, რომ სასწრაფოობის გათვალისწინებით, ინციდენტის მოგვარების საუკეთესო გზა ყოველთვის არ მოიძებნება... თუ სცენარი წინასწარ არ არის წარმოდგენილი და არ არის განსაზღვრული შესაბამისი გამოსწორების ზომები.
ის შემდეგი პოსტი, კომპანიის აღმასრულებელი დირექტორის მიერ შექმნილი გეგმა, რომელიც ამჟამად DesktopApp-ის უსაფრთხოების განახლების შესახებ განცხადებას წარმოადგენს, მომხმარებლების დარწმუნებას ცდილობს. დანერგილია დაცვის რამდენიმე ძირითადი ტექნიკა, როგორიცაა პაროლის ჰეშირება („უკეთესია, ვიდრე არასდროს იყოს გვიან; წარმატების მიღწევა ძალიან გრძელი პერიოდი იქნება“, ჩოსერი დიქსიტი 1386 წელს.) კონკრეტული, განხორციელებული დაცვა უკეთესია, ვიდრე კეთილი განზრახვები და დაგეგმილი გეგმები... მაგრამ როგორ ინახებოდა პაროლები ადრე?
ყოველ შემთხვევაში, Google-მა არსებული 3CX კოდის ხელმოწერის სერტიფიკატი გააუქმა და ანტივირუსული კომპანიების წარმომადგენლებმაც დაბლოკეს ამ სერტიფიკატით ხელმოწერილი ნებისმიერი პროგრამული უზრუნველყოფა. DesktopApp-ის განახლების MSI ინსტალატორების ახალი კოდის ხელმოწერის სერტიფიკატით რეგენერაცია იყო საჭირო, რასაც რამდენიმე საათი დასჭირდა. ეს მოსალოდნელიც იყო!
3CX-მა პრევენციულად განათავსა ახალი სერვერი. ეს გონივრულია: ანალიზის გარეშე, უცნობი იყო, თუ როგორ იქნა შეყვანილი მავნე პროგრამა.
იმავე წლის 1 აპრილს, აღმასრულებელმა დირექტორმა გამოაქვეყნა უსაფრთხოების ინციდენტის განახლებაპოსტში მოთხრობილია, თუ რას აკეთებდა კომპანია (სრული გამოძიების ჩატარება და კლიენტის მხარის პროგრამული უზრუნველყოფის მთელი საწყისი კოდის ვალიდაცია). უსაფრთხოებას შაბათობითაც კი არ შეუძლია ლოდინი.
როდესაც ინციდენტი გაანალიზდა და თავდამსხმელის ინფრასტრუქტურა ცნობილი გახდა, APT-ის მიერ გამოყენებული GitHub საცავი და C2 სერვერების დომენები წაიშალა, რამაც ეფექტურად გაანადგურა მავნე პროგრამა.
აპრილს XXI CISO-მ გამოაქვეყნა ინციდენტის ანალიზის საწყისი შედეგები. პირველად ნახსენები იყო UNC4736 ჩრდილოეთ კორეასთან დაკავშირებული APT.
პარასკევს, 20 აპრილს, Mandiant-მა გამოაქვეყნა... ინციდენტის პირველადი ანალიზიYARA-სა და Snort-ის აღმოჩენის წესები გამოქვეყნდა.
იმავე დღეს, 3CX-ის აღმასრულებელმა დირექტორმა გამოაქვეყნა ახალი პოსტი, სავარაუდო სახელწოდებით „მოქმედებები და არა სიტყვები - ჩვენი 7-საფეხურიანი უსაფრთხოების სამოქმედო გეგმა!“ქვესათაური საკმაოდ საინტერესოა: „3CX-ის მომავლის უზრუნველყოფა პირველი კასკადური განვითარების შემდეგ პროგრამული უზრუნველყოფა-პროგრამულ უზრუნველყოფაში მიწოდების ჯაჭვის შეტევა„შემუშავებული უსაფრთხოების ქარტიის ეტაპებია:“
- ქსელის უსაფრთხოების მრავალი ფენის გამკაცრება.
განახლება უსაფრთხოებას ზრდის.
პროდუქტის უსაფრთხოების მიმდინარე მიმოხილვა.
პროდუქტის უსაფრთხოების მახასიათებლების გაუმჯობესება.
მუდმივი შეღწევადობის ტესტირების ჩატარება.
კრიზისების მართვისა და განგაშის მართვის გეგმის დახვეწა.
ქსელური ოპერაციებისა და უსაფრთხოების ახალი დეპარტამენტის შექმნა.
ანალიტიკოსები ამ საქებარი პროგრამისთვის მართლაც თვალყურს ადევნებენ...
შედეგები: როგორ რეაგირებდა ინდუსტრია
ინციდენტის გამოქვეყნებიდან სულ რამდენიმე კვირა გავიდა. თუმცა, ინდუსტრია რეაგირებს.
CVE-2023-29059 დაენიშნა. დღეის მდგომარეობით, მას აქვს 7.8 (მაღალი) CVSSv3 რისკის ქულა. 3CX პროდუქტებს მხოლოდ 16 CVE აქვთ ჩამოთვლილი, რაც კარგად გამოიყურება მსგავსი დანერგვის დონის მქონე მომწოდებლებთან შედარებით. თუმცა, ეს ინციდენტი არ არის ჩვეულებრივი დაუცველობა მართლაც. ეს არის აქტიური, მუდმივი საფრთხის (APT) მიერ განხორციელებული მიზანმიმართული შეტევა, რადგან CISO ყველაზე აღიარებულია.
ის CWE-506 „ჩაშენებული მავნე კოდი“, რომელიც ამ ინციდენტს კატეგორიზაციას უკეთებს, დიდად არ გვეხმარება იმის გაგებაში, თუ როგორ ავიცილოთ თავიდან ასეთი პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის შეტევები. სამწუხაროდ, ბოროტმოქმედებს მავნე პროგრამების გავრცელების მრავალი გზა აქვთ, მიწოდების ჯაჭვის შეტევები კი მათ არსენალში ახალ მარგალიტს წარმოადგენს. CWE-506 უნდა გაუმჯობესდეს, რათა ასახავდეს მიმდინარე სცენარებს, მათ შორის, სისტემის დარღვევაზე დაფუძნებულ სცენარებს.
APT, რომელსაც Mandiant-ი UNC4736-ს უწოდებს, იყენებს ტაქტიკასა და ტექნიკას, რომელიც მსგავსია ჩრდილოეთ კორეის სახელმწიფოს მიერ შექმნილი ფართოდ ცნობილი „ლაზარეს ჯგუფისა“ (APT38) და 2017 წლის WannaCry-ის გამოსასყიდის მოთხოვნის კამპანიის დამნაშავეების. სტალინისტურ სახელმწიფოებში რეგულარული სამუშაო საათების მქონე ბოროტმოქმედ პირებს შორის ასეთი კავშირების დადგენა რთულია, მაგრამ მკვლევარები... CrowdStrike მდე ESET აღმოჩნდა, რომ გამოყენებული ტაქტიკა, ტექნიკა და პროცედურები (TTP) Lazarus APT38-ის მიერ ჩვეულებრივ გამოყენებულ ტაქტიკას, ტექნიკასა და პროცედურებს ჰგავს. მათი მოქმედების პრინციპის გაგება აუცილებელია გამოვლენის, პრევენციისა და აღმოფხვრისთვის.
მათი საიდუმლოებით მოცული მიზნების ცოდნა კიდევ უფრო რთულია.
ეს თავდასხმა საკმარისად მნიშვნელოვანია, რომ CISაშშ-ის კიბერუსაფრთხოების სააგენტომ, A-მ, გამოაქვეყნა საკონსულტაციო მომწოდებლის პოსტებით და მიწოდების ჯაჭვის შეტევის შესახებ მრავალი ანალიზის ბმულებით. მათი წაკითხვა აქტუალურია კიბერუსაფრთხოების სპეციალისტებისთვის.
ინციდენტი SolarWinds-ის შეტევას გვახსენებს. უზარმაზარი ზემოქმედების გათვალისწინებით, ბევრმა გამყიდველმა იჩქარა ინფიცირებული VoIP დესკტოპ პროდუქტების ინსტალატორების ანალიზი. თუმცა, ეს ბოლო ნაბიჯია. დამატებითი დეტალებია საჭირო იმის გასაგებად, თუ რა ჩაიშალა ორი დაზარალებული ორგანიზაციის აწყობის სისტემების უსაფრთხოებაში და რა ნაბიჯები გადადგეს მავნე აქტორებმა ამ აწყობის სისტემებზე ზემოქმედებისთვის და რა მოახერხეს აწყობის დროს მავნე პროგრამის ჩასმა. წინააღმდეგ შემთხვევაში, ეს ინციდენტი ისევ და ისევ განმეორდება.
და ახლა, გაკვეთილები ვისწავლეთ!
გუნდური სპორტის თამაში, როდესაც გუნდის რომელიმე წევრის მიერ თამაშის ყოველი წუთის ნაკლოვანების ახსნას უსმენ, ნებისმიერ ადამიანსაც კი არღვევს გუნება-განწყობილებას. მაგრამ აქ, ესპანეთში, ყველა ეროვნული ფეხბურთის მწვრთნელია! ასე რომ, მოდით, პეპ გვარდიოლას, ჟოზე მოურინიო, ალექს ფერგიუსონი და არიგო საკი ერთად ვიმოქმედო.
მოიქეცით ისე, თითქოს თქვენი სამშენებლო სისტემა მძიმე არტილერიის ცეცხლის ქვეშააშესაძლოა, თქვენ ვერ შეძლებთ თანამშრომლისთვის სამუშაო კომპიუტერებზე არაავტორიზებული პროგრამული უზრუნველყოფის ინსტალაციის თავიდან აცილებას. სავარაუდოდ, საინჟინრო გუნდებს შეიძლება უფრო მკაცრი პოლიტიკა დასჭირდეთ. თუმცა, ფხიზლად იყავით შექმნისა და განლაგების დროს. pipelineთუ მომხმარებლებს პროგრამულ უზრუნველყოფას აწვდით, პროგრამული უზრუნველყოფის შექმნის უსაფრთხოება ისეთივე მნიშვნელოვანი უნდა იყოს, როგორც პროგრამული პროდუქტის უსაფრთხოება.
ინციდენტებისთვის მზადყოფნართულია, შესაძლოა, სტერილურიც კი იყოს უსაფრთხოების ინციდენტების ყველაზე სავარაუდო სცენარების წინასწარ განსაზღვრა. უნდა ვისწავლო თუ არა დეფიბრილატორის გამოყენება? არა, თუ ბარათის გამოყენებისკენ მიდრეკილება არ მაქვს.iac დაპატიმრება. მაგრამ ღვთის გულისათვის! მოემზადეთ ნულიდან „აწყობისთვის“, გასაღებების, წვდომის ტოკენების, საჯარო გასაღებების წყვილებისა და სერთიფიკატების გაუქმებითა და განახლებით.
სამშენებლო სისტემებს უნდა ჰქონდეთ გარკვეული მახასიათებლებიეფემერულ გარემოში, იზოლირებული/პარამეტრების გარეშე/ჰერმეტული და რეპროდუცირებადი გარემოში აშენების ამჟამინდელი ტენდენცია შეიძლება იყოს ჩარჩო, რათა თავიდან ასაცილებლად ისეთი შეტევები, როგორიცაა 3CX Supply Chain Attack-ის შემთხვევაში, როდესაც მათ ემატება დამატებითი მოთხოვნები სხვა სისტემებზე შექმნისა და განლაგების პროცესში. pipeline. იხილეთ Google SLSA-ს აწყობის მოთხოვნები ცნობისთვის.
სწორი კომუნიკაცია მთავარიაგამჭვირვალობა სავალდებულოა. პრობლემის მინიმიზაცია ან ხალიჩის ქვეშ დამალვა ყველაზე ცუდი რამაა, რაც ნებისმიერ ორგანიზაციას შეუძლია გააკეთოს. უსაფრთხოების ინციდენტები ხშირად უფრო მეტად აზიანებს რეპუტაციას, ვიდრე სხვა აქტივებს და დარღვევის შემდეგ ცუდი კომუნიკაცია შეიძლება კატასტროფული იყოს.
პრობლემები შესაძლებლობებად აქციეთკარგ ინციდენტს შეუძლია უსაფრთხოების კონტროლის გაუმჯობესება გამოიწვიოს, რაც ვერასდროს მოხვდა პროდუქტის მკაცრ გეგმაში. ისეთი აუცილებელი საკითხებიც კი, როგორიცაა პაროლის სათანადო ჰეშირება და უსაფრთხოების კონფიგურაცია/დოკუმენტაციის გამკაცრება, შეიძლება მოკლევადიან პერსპექტივაში დაიგეგმოს. მიწოდების ჯაჭვის შეტევების გარდა, მშენებლობის სისტემების გამკაცრება და ატესტაციებისა და მთლიანობის შემოწმების დამატება მშენებლობისა და განლაგების ყოველ ეტაპზე. pipelineაუცილებელია. თავდამსხმელისთვის ასეთი ცვლილებების შეტანა აწყობის სისტემაში ადვილი არ უნდა იყოს.
მოემზადეთ. წინააღმდეგ შემთხვევაში, თქვენი ორგანიზაცია შესაძლოა ეგზისტენციალური საფრთხის წინაშე აღმოჩნდეს, მაგალითად, 3cx პროგრამული უზრუნველყოფის მიწოდების ჯაჭვზე თავდასხმის.
