Fanafihana amin'ny rojo famatsiana 3CX: Lesona azo

Ireo olon-dratsy dia voalohany nanao fahadisoana tamin'ny rindrambaiko iray, X_TRADER, avy amin'ny orinasa iray antsoina hoe Trading Technologies any Chicago, IL ny foibeny. Nisy malware ilay rindrambaiko ( FAMANTARANA MIARAKA (backdoor) nampidirina. Nosoniavina nomerika niaraka tamin'ny taratasy fanamarinana sonia kaody manan-kery ny installer. Mety ho niditra an-keriny tao amin'ny fananganana ireo olon-dratsy. pipeline tamin'ny taona 2021 ary nanova ny rindrambaiko talohan'ny nandrafetana sy nanasoniavana azy. Ity no dingana voalohany tamin'ny fanafihana rojo famatsiana mifamatotra. Tamin'ny volana Martsa 2022 dia tatitra ao anatin'ny sehatry ny asa DreamJob fantatra ihany koa amin'ny anarana hoe BLINDINGCAN sy AppleJeus, mikendry ireo fikambanana any Etazonia amin'ny sehatry ny fampitam-baovao, IT, vola virtoaly, ary fintech.

Efa nisotro ronono ity rindrambaiko ity tamin'ny taona 2020 (!), saingy azo alaina nanomboka tamin'ny taona 2022. Nametraka azy tao amin'ny solosaina manokana ny mpiasan'ny 3CX. Nangalarin'ireo olon-dratsy ny mari-pamantarana ara-orinasan'ilay mpiasa avy amin'ilay solosaina voajirika. Mahaliana fa ny FAMANTARANA MIARAKA nampiasa URL tao amin'ny tranokalan'ny Trading Technologies ho an'ny fibaikoana sy fanaraha-maso (tetika matetika ampiasaina mba tsy ho tratra).

Roa andro taty aoriana taorian'ny fifanarahana voalohany, dia nampiasa ny VPN an'ny orinasa ireo olon-dratsy mba hidirana amin'ny rafitra anatiny ao amin'ny 3CX. Nampiasa ny proxy mivadika FRP izy ireo, fitaovana ho an'ny daholobe izay azo ampiasaina amin'ny tsara sy ny ratsy, mba hifindrana amin'ny lafiny iray. Fantatr'izy ireo izay tokony hatao amin'ny toerana azony: nanimba ny rafitra fananganana Windows sy macOS izy ireo. Samy hafa ny fitaovana ampiasaina amin'ny tontolo iainana tsirairay. Ohatra, nampiasa ny fitaovana SigFlip izy ireo mba hampidirana ny shellcode voaaro RC4 ao amin'ny tovana sonia an'ny d3dcompiler_47.dll.

Voarohirohy ny fanavaozana rindrambaiko ho an'ny fampiharana 3CX Desktop ho an'ny Windows sy macOS. Ity no dingana faharoa amin'ity fanafihana rojo famatsiana marobe (voalohany?). Ny fanavaozana rindrambaiko ho an'ny Windows, izay nosoniavina tsara ihany koa miaraka amin'ny taratasy fanamarinana sonia kaody 3CX, dia nandatsaka rakitra mampidi-doza roa, ffmpeg.dll sy d3dcompiler_47.dll (miaraka amin'ny mitovy .dylib tranomboky ho an'ny macOS), izay nofenoina sy notanterahin'ny benign 3CXDesktopApp azo tanterahina (amin'ny alàlan'ny teknika fampidirana side-DLL). Ny shellcode voaaro ao amin'ny DLL faharoa dia mampiditra DLL hafa izay alaina avy amin'ny IconStorages Tahiry .ico misy ny mpizara Command and Control (C2) voaaro ny GitHub.

Nisy sehatra maherin'ny 20 natokana ho an'izany, izay milaza amintsika ny fomba nikasaina tsara ny fanafihana tamin'ny rojo famatsiana rindrambaiko.

Nanomboka tamin'ny 06 martsa 2023 ary nifarana tamin'ny 29 martsa ny fifandraisana avy amin'ny solosainan'ireo niharam-boina tamin'ny sehatra C2.

Mariho fa (1) tsy nisy kaody loharano tao amin'ny tahiry kaody novaina fa ny malware kosa no nampidirina nandritra ny fananganana, (2) fitaovana ara-dalàna ffmpeg Nosoloina DDL ny DDL ary nalefa tamin'ny alalan'ny side-DLL loading, ary (3) ny fampiharana VoIP malaza iray dia novaina ho fitaovam-piadiana misy malware maro dingana.

Ahoana no nitantanana ny tranga

Toa tamin'ny 29 martsa dia nahazo tatitra avy amin'ny antoko fahatelo ny 3CX momba ny mpisoloky iray "manararaotra ny fahalemena ao amin'ny vokatra vokariny". Nanao ny asany (amin'ny ampahany) ireo sehatra miady amin'ny malware.

Tamin'ny 30 martsa 2023 ny 3CX CISO, Pierre Jourdan, dia namoaka fanairana mampahafantatra ny mpanjifa sy mpiara-miombon'antoka fa nalefa ny fampiharana Electron (kliyente birao) taorian'ny fanavaozana misy malware. Ny lahatsoratra dia mitanisa ireo dikan-teny voakasik'izany (ho an'ny Windows sy Mac), fanambarana fohy momba ny fepetra voalohany noraisina momba ny fisorohana, ary tolo-kevitra fohy mba hanohy hiasa amin'ny mpanjifa web fa tsy amin'ny mpanjifa birao voaloto.

Raha ny hevitro, ny fifandraisana voalohany, na dia somary fohy aza, dia mazava tsara. Tsy mora ho an'ny mpivarotra ny mahatsapa fa misy olana lehibe momba ny fiarovana izay mety hisy fiantraikany amin'ny mpanjifa maro. Fantatry ny orinasa ny olana, ary nanondro avy hatrany ny mety ho antony nahatonga izany:

"Tsara homarihina - toa fanafihana nokendrena avy amin'ny Advanced Persistent Threat ity, angamba notohanan'ny fanjakana mihitsy aza, izay nanao fanafihana sarotra tamin'ny rojo famatsiana ary nifidy hoe iza no hisintona ny dingana manaraka amin'ny malware-ny."

Nanolotra safidy hafa ny orinasa mba hampandeha tsara ny vokatra: Ny fampiasana ny Web App Progressive na PWA, fa tsy ny fampiharana desktop, mifototra amin'ny elektronika rafitra.

"Manoro hevitra mafy izahay mba hampiasanao ny fampiharana PWA anay. Ny fampiharana PWA dia miorina tanteraka amin'ny tranonkala ary manao 95% amin'ny asan'ny fampiharana elektronika. Ny tombony dia tsy mila fametrahana na fanavaozana izy, ary ampiharina ho azy ny fiarovana ny tranonkala Chrome."

Ny antony anananay fampiharana roa dia satria fony izahay nanomboka ny Electron App dia mbola tsy nisy ny teknolojia PWA. Ankehitriny dia efa matotra izy io ary miasa tsara.

Mety ho voan'ny aretina ihany koa ilay fampiharana tranonkala, ary ny PWA araka ny famaritana azy dia mety hampandeha kaody ao amin'ny mpiasan'ny serivisy (kaody JavaScript) miaraka amin'ny fidirana (voafetra) amin'ny loharano eo an-toerana. Nilaza ilay lahatsoratra fa tsy voan'ny aretina ny PWA tamin'izany fotoana izany. Azontsika takarina ny antony, tao amin'ny fanehoan-kevitra 277+ maro tao amin'ilay lahatsoratra, nanontany ny sasany raha toa ka voajirika ilay safidy PWA voalaza na ny rindrambaiko mpizara PBX mihitsy.

Tamin'io andro io ihany, Voatendry hanao fanadihadiana i Mandiant ny 3CX, miaraka amin'ny toromarika bebe kokoa. Amin'ny ankapobeny, mametraka fanavaozana ho an'ny

Win/Mac Desktop App amin'ny fametrahana azy eo an-toerana, ary esory ny fampiharana elektronika ho an'ireo dikan-teny voakasik'izany, ary mandehana any amin'ny safidy PWA. Tsy voatery ho ampy izany, satria mety hiditra amin'ireo rafitra voakasik'izany ny malware, mbola mitazona ny malware, na mihetsika mihitsy aza. Tsy mora ny fanesorana tanteraka ny malware. Azontsika takarina fa, noho ny fahamehana, ny fomba tsara indrindra hiatrehana ny tranga iray dia tsy hita foana... raha tsy efa noeritreretina mialoha ny toe-javatra ary voafaritra ny fepetra fanarenana sahaza.

The lahatsoratra manaraka, ankehitriny, izay ataon'ny Tale Jeneralin'ny orinasa, dia miezaka manome toky ny mpanjifa amin'ny alàlan'ny fanambarana fanavaozana fiarovana ho an'ny DesktopApp. Nampiharina ny teknika fiarovana fototra sasany, toy ny "password hashing" ("Fa tsara kokoa noho ny tsy misy tara; tsy mahomby mihitsy dia ho ela loatra.", Chaucer Dixit tamin'ny 1386.) Tsara kokoa ny fiarovana voafaritra tsara sy ampiharina noho ny fikasana tsara sy drafitra kasaina hatao… Fa ahoana no nitehirizana ny tenimiafina taloha?

Na izany na tsy izany, nanafoana ny taratasy fanamarinana sonia kaody 3CX efa misy ny Google ary nanakana ny rindrambaiko rehetra nosoniavina tamin'io taratasy fanamarinana io ihany koa ireo mpivarotra antivirus. Nila naverina nohavaozina tamin'ny taratasy fanamarinana sonia kaody vaovao ireo installer MSI ho an'ny fanavaozana DesktopApp, izay naharitra ora maromaro. Azo antenaina izany!

Nametraka mpizara vaovao namboarina mialoha ny 3CX. Azo ekena izany: raha tsy misy fanadihadiana dia tsy fantatra ny fomba nampidirana ny malware.

Tamin'io 1 Aprily io ihany, namoaka lahatsoratra ny Tale Jeneraly Fanavaozana ny tranga momba ny fiarovanaMilaza izay nataon'ny orinasa ilay lahatsoratra (nanao fanadihadiana feno, ary nanamarina ny kaody loharano manontolo an'ny rindrambaiko ho an'ny mpanjifa). Tsy afaka miandry ny fiarovana na dia amin'ny asabotsy aza.

Rehefa nohadihadiana ny tranga ary fantatra ny fotodrafitrasan'ny mpanafika, dia nesorina ny repo GitHub sy ny domains ho an'ny mpizara C2 ampiasain'ny APT, ka nesoriny tanteraka ny malware.

Tamin'ny volana 11th, ny CISNamoaka ny vokatra voalohany avy amin'ny famakafakana ny tranga. Ny APT mifandray amin'i Korea Avaratra UNC4736 no voatonona voalohany.

Tamin'ny Zoma 20 Aprily, nandefa ny fanadihadiana voalohany momba ny zava-nitrangaNavoaka ny fitsipika momba ny fitadiavana YARA sy Snort.

Tamin'io andro io ihany, namoaka lahatsoratra vaovao ny Tale Jeneralin'ny 3CX, izay mitondra ny anarana maneho hevitra. "Asa, fa tsy teny - Ny Drafitra Fiarovana Dingana 7!"Mahaliana ihany ilay lohateny kely: "Fiarovana ny hoavin'ny 3CX taorian'ny andiany voalohany sy mivelatra fanafihana rindrambaiko ao anatin'ny rojo famatsiana rindrambaikoIreto avy ireo dingana ao amin'ny drafitra fiarovana:

• Fanamafisana sosona fiarovana tambajotra maromaro.

• Ny fanavaozana dia manorina fiarovana.

• Famerenana mitohy ny fiarovana ny vokatra.

• Fanatsarana ny endri-javatra fiarovana ny vokatra.

• Manao fitiliana penetration mitohy.

• Fanatsarana ny fitantanana ny krizy sy ny drafitra fiatrehana fanairana.

• Fananganana sampana vaovao ho an'ny fampandehanana sy fiarovana ny tambajotra.

Hanara-maso akaiky ity fandaharan'asa mendri-piderana ity ireo mpandinika, eny tokoa...

Vokatr'izany: Ahoana ny fihetsiky ny indostria

Herinandro vitsivitsy monja no lasa hatramin'ny namoahana ny tranga. Saingy mihetsika ny indostria.

CVE-2023-29059 notendrena. Hatramin'izao, manana isa 7.8 (Avo) amin'ny risika CVSSv3 izy. Ny vokatra 3CX dia manana CVE 16 ihany voatanisa, izay toa tsara raha ampitahaina amin'ireo mpivarotra manana ambaratonga fampiharana mitovy. Saingy tsy izany no zava-nitranga. ny fahalemena mahazatra tokoa. Fanafihana mavitrika kendrena ataon'ny Active Persistent Threat (APT) ity, satria ny CISO no malaza indrindra.

The CWE-506 Ny "Embedded Malcious Code" izay manasokajy ity tranga ity dia tsy manampy antsika firy amin'ny fahatakarana ny fomba hisorohana ny fanafihana amin'ny rojo famatsiana rindrambaiko toy izany. Indrisy anefa fa manana fomba maro ireo olon-dratsy handefasana malware, ary ny fanafihana amin'ny rojo famatsiana no vatosoa vaovao ao amin'ny fitaovany. Tokony hohatsaraina ny CWE-506 mba hanehoana ny toe-javatra ankehitriny, anisan'izany ireo mifototra amin'ny fanitsakitsahana ny rafitra fananganana.

Ny APT, nomena anarana hoe UNC4736 nataon'ny Mandiant, dia mampiasa tetika sy teknika mitovy amin'ny Lazarus Group (APT38) fantatra tsara, izay noforonin'ny Fanjakana Koreana Avaratra, sy ireo nahavanon-doza tamin'ny fampielezan-kevitra WannaCry ransomware tamin'ny 2017. Sarotra ny mametraka fifandraisana toy izany eo amin'ireo mpanao ratsy any amin'ireo fanjakana Stalinista izay manana ora fiasana mahazatra, saingy ireo mpikaroka avy amin'ny vahoaka Fitokonan'ny sy ESET nahita fa ny tetika, teknika ary fomba fiasa (TTP) ampiasain'ny olona dia mitovy amin'ny fampiasan'i Lazarus APT38. Ny fahatakarana ny fomba fiasan'izy ireo dia tena ilaina amin'ny fitadiavana, fisorohana ary famongorana.

Mbola sarotra kokoa aza ny mahafantatra ny tanjon'izy ireo, izay voasarona ao anatin'ny mistery.

Zava-dehibe ity fanafihana ity ka CISA, ny Sampan-draharahan'ny Fiarovana An-tserasera Amerikana, dia namoaka Mpanolo-tsaina miaraka amin'ireo lahatsoratra avy amin'ny mpivarotra sy rohy mankany amin'ny fanadihadiana maro momba ny fanafihana amin'ny rojo famatsiana. Zava-dehibe ho an'ireo mpampiasa cyber sec ny famakiana azy ireo.

Mampahatsiahy antsika ny fanafihana SolarWinds ity tranga ity. Noho ny fiantraikany goavana dia maro ireo mpivarotra no nihazakazaka nandinika ireo fametrahana vokatra birao VoIP voan'ny aretina. Saingy ity no dingana farany. Ilaina ny antsipiriany bebe kokoa mba hahatakarana izay tsy nahomby tamin'ny fiarovana ny rafitra fananganana an'ireo fikambanana roa voakasik'izany, ary inona avy ireo dingana nataon'ireo olon-dratsy mba hisy fiantraikany amin'ireo rafitra fananganana ireo ary nahavita nampiditra ny malware nandritra ny fananganana. Raha tsy izany dia hiverina hatrany hatrany ity tranga ity.

Ary ankehitriny, lesona azo!

Ny filalaovana fanatanjahantena ekipa mihaino olona ao amin'ny ekipanao manazava ny lesoka isaky ny minitra aorian'ny lalao dia mandrava ny toe-tsaina mora tezitra indrindra. Saingy eto Espaina, mpanazatra baolina kitra nasionaly ny rehetra! Koa avelao aho hilalao ny anjara asan'i Pep Guardiola, José Mourinho, Alex Ferguson, ary Arrigo Sacchi miaraka.

Ataovy toy ny hoe eo ambany tifitra mahery vaika ny rafitra fanorenanaoAngamba tsy afaka misoroka ny mpiasa tsy hametraka rindrambaiko tsy nahazoana alalana amin'ny solosaina fiasana ianao. Angamba, mety mitaky politika henjana kokoa ny ekipa injeniera. Saingy mitandrema amin'ny fananganana sy fametrahana. pipelineRaha manolotra rindrambaiko ho an'ny mpanjifa ianao, ny fiarovana ny fomba fanamboaranao azy dia tokony ho zava-dehibe toy ny fiarovana ny vokatra rindrambaiko.

Fiomanana amin'ny lozaSarotra, angamba tsy azo ampiasaina, ny maminavina ireo toe-javatra mety hitranga amin'ny loza ara-piarovana. Tokony hianatra mampiasa defibrillator ve aho? Tsia, raha tsy hoe miaina miaraka amin'ny fironana hampiasa karatra aho.iac fisamborana. Fa Andriamanitra ô! Miomàna "hanorina indray ny fanorenanao" hatrany am-boalohany, miaraka amin'ny fanafoanana + fanavaozana ny fanalahidy, ny mari-pamantarana fidirana, ny lakile ho an'ny daholobe, ary ny mari-pankasitrahana.

Tsy maintsy manana toetra sasany ny rafitra fanorenanaNy fironana ankehitriny mankany amin'ny fananganana ao anatin'ny tontolo mihelina, ary miaraka amin'ny toerana mitokana/tsy misy paramètre/hermetika ary azo averina mihitsy aza dia mety ho rafitra iray misakana fanafihana toy ny tamin'ny 3CX Supply Chain Attack rehefa ampiana fepetra takiana fanampiny amin'ny rafitra hafa amin'ny fananganana sy fametrahana pipeline. jereo Ireo fepetra takian'ny Google SLSA amin'ny fananganana for reference.

Ny fifandraisana tsara no zava-dehibeTsy maintsy atao ny mangarahara. Ny fampihenana ny olana, na ny fanafenana izany ao ambanin'ny karipetra no zavatra ratsy indrindra azon'ny fikambanana atao. Matetika ny tranga momba ny fiarovana dia misy fiantraikany ratsy kokoa amin'ny laza noho ny amin'ny fananana hafa, ary ny fifandraisana ratsy aorian'ny fanitsakitsahana dia mety hiteraka loza lehibe.

Avadiho ho fahafahana ny olanaNy tranga tsara dia mety hiteraka fanatsarana ny fanaraha-maso ny fiarovana izay tsy nahita lalana mihitsy tao anatin'ny drafitra vokatra tery. Na dia ireo zavatra tena ilaina toy ny tenimiafina mety, ary ny antontan-taratasy momba ny fikirakirana/fanamafisana ny fiarovana aza dia azo alamina mandritra ny fotoana fohy. Saingy ho an'ny fanafihana amin'ny rojo famatsiana, ny fanamafisana ny rafitra fananganana, ary ny fanampiana fanamarinana sy fanamarinana ny fahamarinan-toerana amin'ny dingana rehetra amin'ny fananganana sy fametrahana. pipelineTena ilaina ny s. Tsy tokony ho mora ho an'ny mpanafika ny mametraka fiovana toy izany ao amin'ny rafitra fananganana.

Miomàna. Raha tsy izany, mety hiatrika fandrahonana ara-piaina ny fikambanananao, toy ny fanafihana amin'ny rojo famatsiana rindrambaiko 3cx.