Šta se desilo?

Unit 42 je objavio analizu incidenta u neimenovanoj evropskoj banci. Napadač je pristupio internim sistemima koristeći kompromitovane pristupne podatke preko spoljnog gateway uređaja kojim upravlja treća strana. Uređaj nije bio pravilno podešen da zahteva strogu autentifikaciju.

Koga pogađa?

Izveštaj opisuje jednu banku, bez njenog imena i države. Ne potvrđuje krađu bankarskih podataka klijenata niti navodi broj pogođenih klijenata. Slučaj je relevantan i za druge organizacije koje dobavljačima poveravaju daljinski pristup svojoj mreži.

Kako se zaštititi?

  • Proverite autentifikaciju na eksternim pristupnim uređajima i uvedite MFA gde je podržana. Dobavljačima dodelite zasebne naloge sa najmanjim potrebnim privilegijama.
  • Ograničite mreže i sisteme dostupne preko partnerskih veza. Pristup servisima za distribuciju softvera treba posebno kontrolisati.
  • Pratite neuobičajene prijave, ponovljene neuspešne pokušaje autentifikacije i masovno skeniranje internih sistema.
  • Održavajte WSUS i druge servere ažurnim i proveravajte da li nadzor obuhvata administrativne sisteme, a ne samo korisničke računare.
  • U slučaju incidenta opozovite ugrožene pristupne podatke i sesije, sačuvajte relevantne logove i proverite postoje li dodatni tragovi napadača.

Tehnički detalji

Prema Unit 42, aktivnost je obuhvatala skeniranje mreže, pogađanje lozinki i pristup internoj dokumentaciji. Napadač je zatim pokušao da iskoristi ranjivost za daljinsko izvršavanje koda u Windows Server Update Services (WSUS), na serveru za centralno upravljanje konfiguracijom. Cortex XDR je zaustavio pokušaj izvršavanja neovlašćenog koda.

Izveštaj ne navodi WSUS CVE, pogođenu verziju niti proizvođača gateway uređaja. Naknadna istraga nije pronašla dodatno prisustvo napadača ili trajne pristupne mehanizme. Banka je pregledala izloženu dokumentaciju i promenila kompromitovane pristupne podatke.

Zašto je važno?

Upravljanje pristupnim uređajem preko dobavljača ne uklanja odgovornost za proveru njegovih podešavanja. Server za distribuciju softvera zahteva posebnu zaštitu jer preko njega organizacija upravlja velikim brojem računara. Zaustavljen kasniji korak napada ne znači da početnog upada i pristupa dokumentaciji nije bilo.

Preporuka Sajber Radara

Napravite pregled svih pristupa koje održavaju spoljni saradnici. Za svaki zabeležite odgovornu osobu, način autentifikacije, dostupne resurse i mesto čuvanja logova. Proverite te kontrole sa dobavljačem i ograničite nepotreban pristup.