Ҳамла ба занҷираи таъминоти 3CX: Дарсҳои омӯхташуда

Аъзоёни бад аввал бастаи нармафзори X_TRADER-ро аз як ширкате бо номи ... осеб диданд. Технологияҳои тиҷоратӣ Идораи марказии он дар Чикаго, Иллинойс ҷойгир аст. Нармафзор дорои нармафзори зараровар буд ( ВАЙЛЕДСИГНАЛ дари қафо) ворид карда шуд. Насбкунанда бо шаҳодатномаи имзои рамзи эътиборнок имзои рақамӣ дошт. Эҳтимол дорад, ки шахсони бад ба сохтмон ворид шуда бошанд. pipeline то соли 2021 ва пеш аз бастабандӣ ва имзои нармафзор онро тағйир дод. Ин аввалин ҷаҳиш дар ҳамлаи занҷираи таъминот буд. То моҳи марти соли 2022 ин буд хабар дар доираи амалиётҳо DreamJob бо номи BLINDINGCAN ва AppleJeus, ки ба созмонҳои воқеъ дар ИМА дар расонаҳои хабарӣ, IT, криптовалюта ва соҳаҳои финтех нигаронида шудааст.

Ин нармафзор соли 2020 (!) аз кор бароварда шуд, аммо аз соли 2022 онро зеркашӣ кардан мумкин буд. Як корманди 3CX онро дар компютери шахсӣ насб кард. Бадкорон аз компютери осебдида маълумоти корпоративии кормандро дуздидаанд. Ҷолиб он аст, ки... ВАЙЛЕДСИГНАЛ барои фармон ва назорат аз URL дар вебсайти Trading Technologies истифода кардааст (тактикае, ки аксар вақт барои пешгирӣ аз ошкоркунӣ истифода мешавад).

Ду рӯз пас аз созиши аввалия, шахсони бадкор аз VPN-и корпоративӣ барои дастрасӣ ба системаҳои дохилии 3CX истифода бурданд. Онҳо проксии баръакси FRP-ро, як абзори оммавӣ, ки метавонист барои хуб ва бад истифода шавад, барои ҳаракат ба паҳлӯ истифода бурданд. Онҳо медонистанд, ки бо мавқеи ба даст овардашуда чӣ кор кунанд: онҳо системаҳои сохтани Windows ва macOS-ро зери хатар гузоштанд. Ҳар як муҳит бо абзорҳои гуногун буд. Масалан, онҳо аз абзори SigFlip истифода бурданд, то рамзи рамзии RC4-ро ба замимаи имзо ворид кунанд. d3dcompiler_47.dll.

Навсозиҳои нармафзори барномаи 3CX Desktop барои Windows ва macOS сироят ёфтаанд. Ин дуввумин ҷаҳидан дар ин ҳамлаи бисёрқадамаи занҷираи таъминот (аввалин?) буд. Навсозии нармафзор барои Windows, ки инчунин бо сертификати имзои рамзи 3CX дуруст имзо шудааст, ду файли зарароварро аз байн мебарад, ffmpeg.dll ва d3dcompiler_47.dll (бо муодили .dylib китобхонаҳо барои macOS), ки аз ҷониби системаи бенефитсиар бор ва иҷро карда шудаанд 3CXDesktopApp файли иҷрошаванда (тавассути усули боркунии DLL-и паҳлӯӣ). Коди shell, ки дар DLL-и дуюм рамзгузорӣ шудааст, DLL-и дигареро бор мекунад, ки аз он зеркашӣ мешавад НишонаҳоАнборҳо Анбори GitHub як файли .ico мебошад, ки дорои сервери рамзгузоришудаи фармон ва идоракунӣ (C2) мебошад.

Барои ин зиёда аз 20 домен пешбинӣ шуда буд, ки ин ба мо дар бораи он ки чӣ гуна ҳамла ба занҷираи таъминоти нармафзор бодиққат ба нақша гирифта шудааст, шаҳодат медиҳад.

Пайвастшавӣ аз компютерҳои ҷабрдидагон ба доменҳои C2 06 марти соли 2023 оғоз ёфта, 29 март ба анҷом расид.

Лутфан, дар хотир доред, ки (1) ягон рамзи сарчашма дар анбори код тағйир дода нашудааст, балки ба ҷои он, нармафзори зараровар ҳангоми сохтан ворид карда шудааст, (2) қонунӣ ffmpeg DDL бо DDL-и зараровар иваз карда шуд ва тавассути боркунии паҳлӯии DLL бор карда шуд ва (3) як барномаи маъмули VoIP ба силоҳе бо нармафзори зараровари бисёрмарҳилаӣ табдил дода шуд.

Чӣ гуна ин ҳодиса баррасӣ шуд

Чунин ба назар мерасад, ки 29 март 3CX аз шахсони сеюм гузоришҳоеро дар бораи як шахси бадхоҳе, ки "аз осебпазирии маҳсулоти онҳо истифода мебарад" гирифтааст, гирифт. Платформаҳои зидди нармафзори зараровар (қисман) кори худро анҷом доданд.

30 марти соли 2023 3CX CISО, Пьер Журдан, нашр кард огоҳии амният огоҳ кардани муштариён ва шарикон дар бораи он ки барномаи Electron-и онҳо (муштарии мизи корӣ) пас аз навсозӣ бо нармафзори зараровар фиристода шудааст. Дар ин паём версияҳои зарардида (барои Windows ва Mac), изҳороти кӯтоҳ дар бораи чораҳои аввалини пешгирӣ ва тавсияи кӯтоҳ барои идома додани кор бо муштарии веб ба ҷои муштарии мизи кории вайроншуда оварда шудаанд.

Ба андешаи ман, муоширати аввалия, гарчанде каме мухтасар буд, ба таври возеҳ буд. Барои ягон фурӯшанда фаҳмидани он ки мушкилоти ҷиддии амниятӣ вуҷуд дорад ва эҳтимолан ба бисёре аз муштариён таъсир мерасонад, осон нест. Ширкат мушкилотро дарк кард ва фавран ба як гунаҳкори эҳтимолӣ ишора кард:

«Қобили зикр аст - ба назар мерасад, ки ин ҳамлаи мақсаднок аз як таҳдиди Advanced Persistent Threat буд, ки шояд ҳатто аз ҷониби давлат сарпарастӣ мешуд, ки ҳамлаи мураккаби занҷираи таъминотро анҷом дод ва интихоб кард, ки марҳилаҳои навбатии нармафзори зараровари худро кӣ зеркашӣ мекунад.»

Ширкат алтернативаеро барои нигоҳ доштани кори маҳсулот пешниҳод кард: Барои истифода аз Прогрессивии Веб ё PWA, ба ҷои барномаи мизи корӣ, бар асоси Electron framework.

"Мо ба шумо тавсия медиҳем, ки ба ҷои ин аз барномаи PWA-и мо истифода баред. Барномаи PWA комилан дар асоси веб аст ва 95% корҳоеро, ки барномаи электронӣ мекунад, иҷро мекунад. Бартарии он дар он аст, ки он ягон насб ё навсозиро талаб намекунад ва амнияти веби Chrome ба таври худкор татбиқ мешавад."

Сабаби доштани ду барнома дар он аст, ки вақте мо барномаи Electron-ро оғоз кардем, технологияи PWA ҳанӯз дастрас набуд. Ҳоло он пухта расидааст ва хеле хуб кор мекунад."

Хуб, барномаи веб низ метавонад сироят ёбад ва PWA аз рӯи таъриф метавонад рамзро дар коргарони хидматрасон (рамзи JavaScript) бо дастрасии (маҳдуд) ба захираҳои маҳаллӣ иҷро кунад. Дар паём иддао шудааст, ки PWA дар он вақт сироят наёфта буд. Мо метавонем фаҳмем, ки чаро дар бисёре аз 277+ шарҳҳо ба паём баъзеҳо пурсиданд, ки оё алтернативаи зикршудаи PWA ё худи нармафзори сервери PBX осеб дидааст.

Худи ҳамон рӯз, 3CX Мандиантро барои тафтишот таъин кард, бо дастурҳои бештар. Асосан, он навсозиро барои насб мекунад

Барномаи Win/Mac Desktop-ро ҳангоми насби маҳаллӣ насб кунед ва барномаи электрониро барои версияҳои зарардида нест кунед ва ба алтернативаи PWA гузаред. Ин на ҳамеша кофӣ аст, зеро нармафзори зараровар метавонад ба системаҳои зарардида дастрасӣ дошта бошад, нармафзори зарароварро нигоҳ дорад ё ҳатто ба паҳлӯ ҳаракат кунад. Нест кардани пурраи нармафзори зараровар он қадар осон нест. Мо метавонем дарк кунем, ки бо назардошти фаврӣ, беҳтарин роҳи ҳалли ҳодиса ҳамеша пайдо намешавад... агар сенария қаблан тасаввур нашуда бошад ва чораҳои дурусти ислоҳ муайян карда нашуда бошанд.

Дар паёми зерин, ҳоло аз ҷониби директори генералии ширкат, кӯшиш мекунад, ки муштариёнро бо эълони навсозии танҳо амниятӣ барои DesktopApp итминон диҳад. Баъзе усулҳои асосии муҳофизатӣ, ба монанди хэшкунии парол, татбиқ карда шуданд ("Беҳтар аз он ки ҳеҷ гоҳ дер аст; ҳеҷ гоҳ муваффақ шудан муддати хеле тӯлонӣ хоҳад буд.", Чосер гуфт дар соли 1386.) Ҳимояҳои мушаххас ва амалӣ аз ниятҳои нек ва нақшаҳои пешбинишуда беҳтаранд... Аммо паролҳо қаблан чӣ гуна нигоҳ дошта мешуданд?

Ба ҳар ҳол, Google сертификати имзои рамзи мавҷудаи 3CX-ро беэътибор кард ва фурӯшандагони антивирус низ ҳама гуна нармафзореро, ки бо ин сертификат имзо шудааст, масдуд карданд. Насбкунандагони MSI барои навсозии DesktopApp бояд бо сертификати нави имзои рамз барқарор карда мешуданд, ки ин чанд соат тӯл кашид. Инро интизор шудан мумкин буд!

3CX сервери нави сохташударо пешакӣ ҷойгир кард. Ин мантиқӣ аст: бидуни таҳлил, чӣ гуна ворид кардани нармафзори зараровар номаълум буд.

Дар ҳамон 1 апрел, директори генералӣ як паём нашр кард Навсозии ҳодисаи амниятӣДар паём гуфта мешавад, ки ширкат чӣ кор мекард (гузаронидани тафтишоти пурра ва тасдиқи тамоми рамзи сарчашмаи нармафзори тарафи муштарӣ). Амният ҳатто рӯзҳои шанбе интизор шуда наметавонад.

Вақте ки ҳодиса таҳлил карда шуд ва инфрасохтори ҳамлагар маълум шуд, анбори GitHub ва доменҳо барои серверҳои C2, ки аз ҷониби APT истифода мешуданд, нест карда шуданд ва дар натиҷа нармафзори зарароварро нест карданд.

Дар моҳи апрели 11th, саҳ CISО нашр кард натиҷаҳои аввалия аз таҳлили ҳодисаҳо. Аввалин маротиба APT-и UNC4736, ки бо Кореяи Шимолӣ алоқаманд аст, зикр шуд.

Рӯзи ҷумъа, 20 апрел, Mandiant интишор кард таҳлили ибтидоии ҳодисаҚоидаҳои ошкоркунии YARA ва Snort нашр шуданд.

Дар ҳамон рӯз, директори генералии 3CX паёми наверо бо номи пешниҳодшуда нашр кард. «Амал, на сухан – Нақшаи амалиёти амниятии 7-қадами мо!»Зерсарлавҳа хеле ҷолиб аст: "Таъмини ояндаи 3CX пас аз аввалин навъ ва силсилавӣ ҳамлаи занҷираи таъминоти нармафзор дар нармафзор." Қадамҳои оинномаи таҳияшудаи амният инҳоянд:

• Тақвияти бисёрсатҳаҳои амнияти шабака.

• Аз нав сохтан амниятро тақвият медиҳад.

• Баррасии доимии бехатарии маҳсулот.

• Такмили хусусиятҳои амниятии маҳсулот.

• Гузаронидани санҷиши воридшавии доимӣ.

• Такмили нақшаи идоракунии бӯҳрон ва идоракунии огоҳиҳо.

• Таъсиси шӯъбаи нав оид ба амалиёти шабакавӣ ва амният.

Таҳлилгарон ба ин барномаи таҳсиновар чашм хоҳанд дӯхт, дар ҳақиқат...

Оқибат: Чӣ гуна саноат вокуниш нишон дод

Аз нашри ин ҳодиса ҳамагӣ чанд ҳафта гузашт. Аммо саноат вокуниш нишон медиҳад.

CVE-2023-29059 таъин карда шуд. То имрӯз, он дорои холҳои хатари 7.8 (баланд) CVSSv3 мебошад. Маҳсулоти 3CX танҳо 16 CVE номбар кардаанд, ки дар муқоиса бо фурӯшандагон бо сатҳҳои шабеҳи татбиқ хуб ба назар мерасад. Аммо ин ҳодиса чунин нест осебпазирии маъмулӣ дар ҳақиқат. Ин ҳамлаи мақсадноки фаъол аз ҷониби як таҳдиди доимии фаъол (APT) аст, зеро CISО аз ҳама машҳуртар аст.

Дар CWE-506 «Рамзи зараровари воридшуда», ки ин ҳодисаро гурӯҳбандӣ мекунад, ба мо дар фаҳмидани чӣ гуна пешгирӣ кардани чунин ҳамлаҳои занҷираи таъминоти нармафзор кӯмаки зиёд намекунад. Мутаассифона, бадкорон роҳҳои зиёде барои интиқоли нармафзори зараровар доранд ва ҳамлаҳои занҷираи таъминот ба як нармафзори нави арсенали онҳо табдил меёбанд. CWE-506 бояд барои инъикоси сенарияҳои ҷорӣ, аз ҷумла онҳое, ки ба вайрон кардани системаи сохта асос ёфтаанд, такмил дода шавад.

APT, ки аз ҷониби Mandiant UNC4736 номгузорӣ шудааст, тактика ва усулҳои монанд ба гурӯҳи маъруфи Lazarus (APT38), ки аз ҷониби давлати Кореяи Шимолӣ ташкил шудааст ва омилони маъракаи нармафзори фидяи WannaCry дар соли 2017-ро истифода мебарад. Муқаррар кардани чунин робитаҳо байни амалкунандагони бад дар давлатҳои сталинӣ бо соатҳои кории муқаррарӣ душвор аст, аммо муҳаққиқон аз... Бештар ва ESET муайян карданд, ки тактика, усулҳо ва тартиботи (TTP)-ҳои истифодашуда ба тактикаҳо, усулҳо ва тартибҳои маъмулии Lazarus APT38 монанданд. Фаҳмидани тарзи кори онҳо барои ошкор, пешгирӣ ва решакан кардан муҳим аст.

Донистани ҳадафҳои онҳо, ки бо асрор пӯшида шудаанд, боз ҳам душвортар аст.

Ин ҳамла он қадар муҳим аст, ки CISОҷонсии амнияти кибернетикии ИМА, A, як паём нашр кард. маслиҳат бо паёмҳои фурӯшандагон ва истинодҳо ба таҳлилҳои сершумор дар бораи ҳамлаи занҷираи таъминот. Хондани онҳо барои мутахассисони амнияти киберӣ муҳим аст.

Ин ҳодиса ба мо ҳамлаи SolarWinds-ро ба ёд меорад. Бо назардошти таъсири бузург, бисёре аз фурӯшандагон шитоб карданд, ки насбкунандагони маҳсулоти мизи кории VoIP-и сироятшударо таҳлил кунанд. Аммо ин қадами охирин аст. Барои фаҳмидани он ки бо амнияти системаҳои сохтани ду ташкилоти зарардида чӣ кор накардааст ва кадом чораҳоро шахсони бад барои таъсир расонидан ба ин системаҳои сохташуда андешидаанд ва тавонистанд, ки ҳангоми сохтан нармафзори зараровар ворид карда шавад, тафсилоти бештар лозим аст. Дар акси ҳол, ин ҳодиса борҳо ва борҳо такрор хоҳад шуд.

Ва акнун, дарсҳои омӯхташуда!

Бозии варзиши дастаӣ гӯш кардан ба шарҳи ҳар як камбудии бозӣ аз ҷониби касе аз дастаатон пас аз он рӯҳияи оромтаринро шикаста мекунад. Аммо дар ин ҷо, дар Испания, ҳама мураббии футболи миллӣ ҳастанд! Пас, бигзор ман якҷоя ҳамчун Пеп Гвардиола, Жозе Моуриньо, Алекс Фергюсон ва Арриго Сакки амал кунам.

Чунин рафтор кунед, ки гӯё системаи сохтмонии шумо зери оташи шадиди артиллерия қарор дорадШояд шумо наметавонед аз насби нармафзори беиҷозат дар компютерҳои корӣ аз ҷониби корманд пешгирӣ кунед. Эҳтимол, гурӯҳҳои муҳандисӣ метавонанд сиёсати сахтгиртарро талаб кунанд. Аммо ҳангоми сохтан ва ҷойгиркунӣ эҳтиёткор бошед. pipelineАгар шумо нармафзорро ба муштариён пешниҳод кунед, амният дар тарзи сохтани нармафзор бояд ба мисли амнияти маҳсулоти нармафзор муҳим бошад.

Омодагӣ ба ҳодисаПешгӯии эҳтимолии сенарияҳои эҳтимолии ҳодисаҳои амниятӣ душвор, шояд бефоида бошад. Оё ман бояд истифодаи дефибрилляторро ёд гирам? Не, агар ман бо майл ба корт зиндагӣ накунам.iac боздошт. Аммо барои Худо! Омода бошед, ки "сохти худро аз сифр бо бекоркунӣ + навсозии калидҳо, токенҳои дастрасӣ, ҷуфтҳои калидҳои оммавӣ ва сертификатҳо аз нав созед".

Системаҳои сохтмонӣ бояд хусусиятҳои муайяне дошта бошандТамоюли кунунӣ ба сӯи сохтмон дар муҳитҳои муваққатӣ ва бо ҷудогона/бепараметр/герметикӣ ва ҳатто такроршаванда метавонад чаҳорчӯбаи он бошад Пешгирӣ кунед ҳамлаҳо ба монанди ҳамлаи занҷираи таъминотии 3CX ҳангоми пурра кардани талаботи иловагӣ дар дигар системаҳо дар сохтмон ва ҷойгиркунӣ pipeline. Нигоҳ кунед Талаботҳои сохтани SLSA-и Google барои истинод.

Муоширати дуруст калиди муҳим астШаффофият ҳатмист. Кам кардани мушкилот ё пинҳон кардани он дар зери қолин бадтарин корест, ки ҳар як созмон метавонад анҷом диҳад. Ҳодисаҳои амниятӣ аксар вақт ба обрӯ нисбат ба дигар дороиҳо таъсири бештар мерасонанд ва муоширати бад пас аз вайронкунӣ метавонад фоҷиабор бошад.

Мушкилотро ба имкониятҳо табдил диҳедЯк ҳодисаи хуб метавонад боиси беҳбудиҳо дар назорати амниятӣ гардад, ки ҳеҷ гоҳ ба нақшаи маҳдуди маҳсулот роҳ наёфтанд. Ҳатто чизҳои муҳим ба монанди хэшкунии дурусти парол ва конфигуратсияи амниятӣ/сахткунии ҳуҷҷатҳо метавонанд барои муддати кӯтоҳ ба нақша гирифта шаванд. Аммо барои ҳамлаҳои занҷираи таъминот, сахтгирии системаҳои сохтмон ва илова кардани сертификатсияҳо ва санҷиши якпорчагӣ дар ҳар як марҳилаи сохтмон ва ҷойгиркунӣ. pipelines муҳиманд. Барои ҳамлагар ворид кардани чунин тағйирот дар системаи сохтан набояд он қадар осон бошад.

Омода бошед. Дар акси ҳол, ташкилоти шумо метавонад бо таҳдиди вуҷудӣ, ба монанди ҳамла ба занҷираи таъминоти нармафзори 3cx, рӯбарӯ шавад.