Serangan Rantaian Bekalan 3CX: Pengajaran yang Diperoleh

Pelakon jahat itu mula-mula mencerobohi pakej perisian, X_TRADER, daripada sebuah syarikat bernama Teknologi Perdagangan beribu pejabat di Chicago, IL. Perisian ini mempunyai perisian hasad ( SIGNAL BERTUDUNG (pintu belakang) disuntik. Pemasang telah ditandatangani secara digital dengan sijil tandatangan kod yang sah. Pelakon jahat mungkin menceroboh masuk ke dalam binaan pipeline menjelang 2021 dan mengubah suai perisian sebelum ia dibungkus dan ditandatangani. Ini merupakan lompatan pertama dalam serangan rantaian bekalan berantai. Menjelang Mac 2022, ini adalah dilaporkan dalam konteks operasi DreamJob aka BLINDINGCAN dan AppleJeus, menyasarkan organisasi yang berpangkalan di AS dalam industri media berita, IT, mata wang kripto dan fintech.

Perisian ini telah bersara pada tahun 2020 (!), tetapi ia boleh dimuat turun mulai tahun 2022. Seorang pekerja 3CX telah memasangnya pada komputer peribadi. Penjenayah telah mencuri kelayakan korporat pekerja daripada komputer yang diceroboh. Menariknya, SIGNAL BERTUDUNG menggunakan URL di bawah laman web Trading Technologies untuk arahan dan kawalan (taktik yang sering digunakan untuk mengelakkan pengesanan).

Dua hari kemudian selepas kompromi awal, pelaku jahat menggunakan VPN korporat untuk mengakses sistem dalaman 3CX. Mereka menggunakan proksi terbalik FRP, alat awam yang boleh digunakan untuk kebaikan dan keburukan, untuk bergerak secara lateral. Mereka tahu apa yang perlu dilakukan dengan kedudukan yang diperoleh: mereka menjejaskan sistem binaan Windows dan macOS. Setiap persekitaran dengan alat yang berbeza. Contohnya, mereka menggunakan alat SigFlip untuk menyuntik kod shell yang disulitkan RC4 ke dalam lampiran tandatangan d3dcompiler_47.dll.

Kemas kini perisian untuk aplikasi 3CX Desktop untuk Windows dan macOS telah dijangkiti. Ini merupakan lompatan kedua dalam serangan rantaian bekalan berbilang langkah (pertama?) ini. Kemas kini perisian untuk Windows, yang juga ditandatangani dengan betul dengan sijil penandatanganan kod 3CX, telah menjatuhkan dua fail berniat jahat, ffmpeg.dll dan d3dcompiler_47.dll (dengan setara .dylib perpustakaan untuk macOS), yang dimuatkan dan dilaksanakan oleh benign Aplikasi Desktop 3CX boleh laku (melalui teknik pemuatan DLL sisi). Kod shell yang disulitkan dalam DLL kedua memuatkan DLL lain yang dimuat turun dari IconStorages Repositori GitHub fail .ico yang mengandungi pelayan Perintah dan Kawalan (C2) yang disulitkan.

Terdapat lebih 20 domain yang diperuntukkan untuk ini, yang memberitahu kita tentang bagaimana serangan rantaian bekalan perisian dirancang dengan teliti.

Sambungan daripada PC mangsa ke domain C2 bermula pada 06 Mac 2023 dan berakhir pada 29 Mac.

Sila ambil perhatian bahawa (1) tiada kod sumber dalam repositori kod diubah suai tetapi sebaliknya, muatan perisian hasad telah disuntik semasa binaan, (2) kod yang sah ffmpeg DDL telah digantikan dengan perisian hasad dan dimuatkan melalui pemuatan DLL sisi, dan (3) aplikasi VoIP yang popular telah diubah menjadi senjata dengan perisian hasad berbilang peringkat.

Bagaimana Kejadian Dikendalikan

Nampaknya pada 29 Mac, 3CX menerima laporan daripada pihak ketiga tentang pelaku berniat jahat yang "mengeksploitasi kerentanan dalam produk mereka". Platform anti-perisian hasad telah (sebahagiannya) menjalankan tugas mereka.

Pada 30 Mac 2023, 3CX CISO, Pierre Jourdan, menerbitkan sebuah amaran keselamatan memaklumkan pelanggan dan rakan kongsi bahawa aplikasi Electron (klien desktop) mereka telah dihantar selepas kemas kini dengan perisian hasad. Catatan tersebut menyenaraikan versi yang terjejas (untuk Windows dan Mac), pernyataan ringkas tentang langkah-langkah pembendungan awal yang diambil dan cadangan ringkas untuk terus bekerja dengan klien web dan bukannya klien desktop yang tercemar.

Pada pendapat saya, komunikasi awal, walaupun agak ringkas, adalah terus terang. Tidak mudah bagi mana-mana vendor untuk menyedari bahawa terdapat isu keselamatan serius yang berpotensi menjejaskan ramai pelanggan. Syarikat itu menyedari masalah tersebut, dan segera menunjukkan potensi penyebabnya:

"Perlu disebut – ini nampaknya merupakan serangan yang disasarkan daripada Ancaman Berterusan Lanjutan, mungkin juga ditaja oleh kerajaan, yang menjalankan serangan rantaian bekalan yang kompleks dan memilih siapa yang akan memuat turun peringkat seterusnya perisian hasad mereka."

Syarikat itu menawarkan alternatif untuk memastikan produk tersebut berfungsi: Untuk menggunakan App Web Progresif atau PWA, bukannya aplikasi desktop, berdasarkan Electron rangka kerja.

“Kami sangat mengesyorkan agar anda menggunakan aplikasi PWA kami. Aplikasi PWA ini berasaskan web sepenuhnya dan melakukan 95% daripada apa yang dilakukan oleh aplikasi elektron. Kelebihannya ialah ia tidak memerlukan sebarang pemasangan atau pengemaskinian, dan keselamatan web Chrome digunakan secara automatik.

Sebab kami mempunyai dua aplikasi adalah kerana semasa kami memulakan Aplikasi Elektron, teknologi PWA belum tersedia lagi. Kini ia telah matang dan berfungsi dengan sangat baik.”

Aplikasi web juga mungkin dijangkiti, dan PWA mengikut definisi mungkin menjalankan kod dalam pekerja perkhidmatan (kod JavaScript) dengan akses (terhad) kepada sumber tempatan. Catatan itu mendakwa bahawa PWA tidak dijangkiti pada masa itu. Kita boleh faham mengapa, dalam kebanyakan 277+ komen pada catatan itu, ada yang bertanya sama ada alternatif PWA yang disebut atau perisian pelayan PBX itu sendiri telah dikompromi.

Hari yang sama, 3CX melantik Mandiant untuk siasatan, dengan lebih banyak arahan. Pada asasnya, ia memasang kemas kini untuk

Aplikasi Desktop Win/Mac pada pemasangan di premis, dan nyahpasang aplikasi elektron untuk versi yang terjejas, dan pergi ke alternatif PWA. Itu tidak semestinya mencukupi, kerana perisian hasad mungkin mempunyai akses kepada sistem yang terjejas, mengekalkan perisian hasad, atau bergerak ke sisi. Penyingkiran sepenuhnya perisian hasad tidak semudah itu. Kita boleh faham bahawa, memandangkan keadaan mendesak, cara terbaik untuk menangani insiden tidak selalu ditemui… melainkan senario itu dibayangkan sebelum ini dan langkah pemulihan yang betul dikenal pasti.

. catatan berikut, kini oleh Ketua Pegawai Eksekutif syarikat, cuba meyakinkan pelanggan dengan pengumuman kemas kini keselamatan sahaja untuk DesktopApp. Beberapa teknik perlindungan asas, seperti hashing kata laluan, telah dilaksanakan (“Untuk lebih baik daripada tidak sama sekali terlambat; tidak pernah berjaya akan menjadi tempoh yang terlalu lama.”, Chaucer berkata pada tahun 1386.) Perlindungan khusus yang dilaksanakan adalah lebih baik daripada niat baik dan rancangan yang diunjurkan… Tetapi bagaimana kata laluan disimpan sebelum ini?

Walau bagaimanapun, Google telah membatalkan sijil tandatangan kod 3CX sedia ada dan vendor antivirus turut menyekat sebarang perisian yang ditandatangani dengan sijil tersebut. Pemasang MSI untuk kemas kini DesktopApp perlu dijana semula dengan sijil tandatangan kod baharu, yang mengambil masa beberapa jam. Ini boleh dijangkakan!

3CX telah menggunakan pelayan binaan baharu secara pencegahan. Ini munasabah: tanpa analisis, cara perisian hasad disuntik tidak diketahui.

Pada 1 April yang sama, Ketua Pegawai Eksekutif telah menyiarkan Kemas Kini Insiden KeselamatanSiaran tersebut menceritakan apa yang sedang dilakukan oleh syarikat (menjalankan siasatan penuh dan mengesahkan keseluruhan kod sumber perisian pihak klien.) Keselamatan tidak boleh menunggu walaupun pada hari Sabtu.

Apabila insiden itu dianalisis dan infrastruktur penyerang diketahui, repo dan domain GitHub untuk pelayan C2 yang digunakan oleh APT telah dialih keluar, sekali gus berjaya menghapuskan perisian hasad tersebut.

Pada April 11th, yang CISO menyiarkannya keputusan awal daripada analisis insiden. APT yang berkaitan dengan Korea Utara UNC4736 pertama kali disebut.

Pada hari Jumaat 20 April, Mandiant menyiarkan analisis awal kejadianPeraturan pengesanan YARA dan Snort telah diterbitkan.

Pada hari yang sama, Ketua Pegawai Eksekutif 3CX menyiarkan catatan baharu, dengan nama yang bernas “Tindakan, bukan kata-kata – Pelan Tindakan Keselamatan 7 Langkah Kami!”Tajuk kecil itu agak menarik: “Menjamin Masa Depan 3CX selepas pelancaran bertingkat yang pertama seumpamanya serangan rantaian bekalan perisian-dalam-perisianLangkah-langkah piagam keselamatan yang digubal adalah:

• Memperkukuhkan pelbagai lapisan keselamatan rangkaian.

• Pengubahsuaian membina keselamatan.

• Semakan keselamatan produk yang berterusan.

• Meningkatkan ciri-ciri keselamatan produk.

• Melakukan ujian penembusan yang berterusan.

• Memperhalusi pelan pengurusan krisis dan pengendalian amaran.

• Menubuhkan jabatan baharu untuk operasi dan keselamatan rangkaian.

Para penganalisis pasti akan memerhatikan program yang patut dipuji ini…

Kesannya: Bagaimana industri bertindak balas

Hanya beberapa minggu berlalu sejak insiden itu diterbitkan. Tetapi industri sedang bertindak balas.

CVE-2023 29059- telah ditugaskan. Sehingga hari ini, ia mempunyai skor risiko CVSSv3 7.8 (TINGGI). Produk 3CX hanya mempunyai 16 CVE yang disenaraikan, yang kelihatan baik jika dibandingkan dengan vendor dengan tahap pelaksanaan yang serupa. Tetapi insiden ini tidak kelemahan yang biasa sememangnya. Ini adalah serangan sasaran aktif oleh Ancaman Berterusan Aktif (APT), kerana CISO paling dikenali.

. CWE-506 "Kod Berniat Jahat Terbenam" yang mengkategorikan insiden ini tidak banyak membantu kita dalam memahami cara mencegah serangan rantaian bekalan perisian sedemikian. Malangnya, penjahat mempunyai banyak jalan untuk menyebarkan perisian hasad, dengan serangan rantaian bekalan menjadi permata baharu dalam senjata mereka. CWE-506 harus diperbaiki untuk mencerminkan senario semasa, termasuk senario berdasarkan pelanggaran sistem binaan.

APT, yang dinamakan UNC4736 oleh Mandiant, menggunakan taktik dan teknik yang serupa dengan Lazarus Group (APT38) yang dikenali ramai, yang dihasilkan oleh Negara Korea Utara, dan pelaku kempen ransomware WannaCry 2017. Hubungan sedemikian antara pelaku jahat di negara-negara Stalinis dengan waktu kerja tetap sukar untuk diwujudkan, tetapi penyelidik dari CrowdStrike dan ESET mendapati bahawa taktik, teknik dan prosedur (TTP) yang digunakan menyerupai kegunaan biasa oleh Lazarus APT38. Memahami cara ia beroperasi adalah penting untuk pengesanan, pencegahan dan pembasmian.

Mengetahui matlamat mereka, yang diselubungi misteri, adalah lebih sukar.

Serangan ini cukup penting sehingga CISA, Agensi Keselamatan Siber AS, telah mengeluarkan nasihat dengan catatan vendor dan pautan ke pelbagai analisis mengenai serangan rantaian bekalan. Membacanya adalah relevan untuk pengamal keselamatan siber.

Insiden itu mengingatkan kita tentang serangan SolarWinds. Memandangkan kesan yang besar, ramai vendor bergegas untuk menganalisis pemasang produk desktop VoIP yang dijangkiti. Tetapi ini adalah langkah terakhir. Butiran lanjut diperlukan untuk memahami apa yang gagal dengan keselamatan sistem binaan kedua-dua organisasi yang terjejas, dan langkah-langkah yang diambil oleh pelaku jahat untuk menjejaskan sistem binaan tersebut dan berjaya memasukkan perisian hasad semasa binaan. Jika tidak, insiden ini akan berulang lagi dan lagi.

Dan sekarang, pengajaran yang telah dipelajari!

Bermain sukan berpasukan sambil mendengar seseorang dalam pasukan anda menerangkan setiap minit kelemahan permainan selepas itu menghancurkan semangat yang paling mudah marah. Tetapi di Sepanyol ini, semua orang adalah jurulatih bola sepak kebangsaan! Jadi, izinkan saya bertindak sebagai Pep Guardiola, José Mourinho, Alex Ferguson dan Arrigo Sacchi.

Berlagak seolah-olah sistem binaan anda berada di bawah tembakan artileri beratMungkin anda tidak boleh menghalang pekerja daripada memasang perisian tanpa kebenaran pada PC kerja. Mungkin, pasukan kejuruteraan mungkin memerlukan dasar yang lebih ketat. Tetapi berhati-hati dalam membina & menggunakan pipelineJika anda menghantar perisian kepada pelanggan, keselamatan tentang cara anda membina perisian harus sama pentingnya dengan keselamatan produk perisian tersebut.

Kesiapsiagaan insidenSukar, mungkin steril, untuk menjangka senario yang paling mungkin berlaku untuk insiden keselamatan. Patutkah saya belajar menggunakan defibrilator? Tidak, melainkan saya hidup dengan kecenderungan untuk menggunakan kadiac penangkapan. Demi Tuhan! Bersedialah untuk "membina semula binaan anda" dari awal, dengan pembatalan + pembaharuan kunci, token akses, pasangan kunci awam dan sijil.

Sistem binaan mesti mempunyai ciri-ciri tertentuTrend semasa ke arah binaan dalam persekitaran sementara, dan dengan terasing/tanpa parameter/hermetik dan juga boleh dihasilkan semula boleh menjadi rangka kerja untuk mencegah serangan seperti yang berlaku pada Serangan Rantaian Bekalan 3CX apabila dilengkapi dengan keperluan tambahan pada sistem lain dalam binaan & penggunaan pipeline. Lihat Keperluan binaan Google SLSA untuk rujukan.

Komunikasi yang betul adalah kunciKetelusan adalah wajib. Meminimumkan isu, atau menyembunyikannya di bawah permaidani adalah perkara terburuk yang boleh dilakukan oleh mana-mana organisasi. Insiden keselamatan sering memberi kesan yang lebih teruk kepada reputasi berbanding aset lain, dan komunikasi yang buruk selepas pelanggaran boleh menjadi bencana.

Ubah masalah menjadi peluangInsiden yang baik boleh mencetuskan penambahbaikan dalam kawalan keselamatan yang tidak pernah terjerumus ke dalam pelan produk yang ketat. Malah perkara penting seperti hashing kata laluan yang betul dan dokumentasi konfigurasi/pengerasan keselamatan boleh dijadualkan untuk jangka pendek. Tetapi untuk serangan rantaian bekalan, pengerasan sistem binaan dan penambahan pengesahan dan pemeriksaan integriti pada setiap langkah binaan & penggunaan pipelines adalah penting. Tidak sepatutnya semudah itu bagi penyerang untuk menanamkan perubahan sedemikian dalam sistem binaan.

Bersedialah. Jika tidak, organisasi anda mungkin menghadapi ancaman eksistensial, seperti serangan rantaian bekalan perisian 3cx.