Author Archives: Seiko Kuik

Mida pahaloomuliste e-kirjade puhul tähele panna ja kuidas käituda?

Taust

09. juuni 2022

Mida pahaloomuliste e-kirjade puhul tähele panna ja kuidas käituda?

Meiliteenuse kui ründevektori ärakasutamine on ründajate seas juba pikka aega väga populaarne. Populaarsuse taga peituvad mitmed asjaolud – väga madal kulu ründajale, meetodi lihtsus ja paraku ka piisavalt suur ohvriks langenute arv. Piisab vaid ühest veenvast e-kirjast, mis palub minna andmeid õngitsevale lehele või pahavara sisaldava manuse avamisest, et ründaja enda esmased eesmärgid täidaks. Eesmärkideks on tavaliselt andmete varastamine, kompromiteeritud kontodelt uute pahaloomuliste kirjade saatmine või süsteemide kompromiteerimine, alustades esmalt ohvri seadmest.

Iganädalaselt, igakuiselt, kvartaalselt kui ka iga-aastaselt kirjeldab RIA levinumaid trende Eesti küberruumis, mis põhinevad CERT-EE kogutud andmetel. Statistikast järeldub üldjuhul ülal nenditud fakt, et meiliteenusega seotud ründed on ühed levinumad ka Eesti suunal.

Lühikirjeldused erinevatest ründetaktikatest

Nagu jalgpallis ei kasutata eesmärkide saavutamiseks ainult ühte ründetaktikat, ei kasutata ainult ühte ründetaktikat ka pahaloomuliste e-kirjade puhul. Järgnevalt kirjeldame lühidalt erinevaid aspekte, mida pahaloomuliste e-kirjade puhul kohtab:

Inimest huvitava info ärakasutamine – Saatja on kirja sisu põiminud mõne saajat puudutava teemaga – näiteks võib keskkonnavaldkonnas töötav inimene saada näiliselt kutse konverentsile, kus arutatakse rohepöördega seotud teemasid (näiline kutse kirja manuses sisaldab pahavara või palutakse sisestada andmed õngitsuslehele, et konverentsile registreerida) või võib näiteks tervishoiusektoris töötav inimene saada näiliselt COVID-19 viiruse levikuga seotud kirja. Ründajad võivad kasutada suunatud lähenemist, kui inimese kohta on võimalik avalikult kätte saada erinevat informatsiooni, mida saab omakorda usalduse tekitamiseks ära kasutada.

Saatja nime võltsimine – See on üks levinumaid tunnusmärke pahaloomuliste kirjade puhul. Kirja saajas üritatakse tekitada usaldust, võltsides kirja saatja nime. Nimena kasutatakse kirja saajale tuttavat inimest (nt asutuse teine töötaja). Kuna mõned meilirakendused ei kuva automaatselt saatja meiliaadressi, vaid ainult nime, on selle võltsimine ka üsna populaarne.

Lekkinud meilivestluste kasutamine – Ühe ründetaktikana kasutatakse ka eelnevalt lekkinud meilivestluseid. Tavaliselt on ühe meilivestluses osalenu seade mingil ajahetkel nakatunud pahavaraga, mille abil kirjavahetus kätte saadakse. Vestlusele saadetakse aja möödudes (ajavahemik varieerub, kuid sageli on see tavatult pikk) vastus vestlusega mitteseotud meiliaadressilt (võltsides sealjuures saatja nime). Kirjas palutakse sageli avada kirjaga kaasa pandud manus, mis aga sisaldab pahavara. Pahavara abil varastatakse siis omakorda uue ohvri postkasti sisu, mida hiljem järgmiste ohvrite saamiseks ära kasutatakse, sh rahalise kasu eesmärgil.

Kompromiteeritud kontolt teiste ohvrite püüdmine – Kui näiteks organisatsioonis on ühe töötaja meilikonto kompromiteeritud, siis üritatakse selle konto abil sageli ka organisatsiooni sees teisi ohvreid püüda. Kuna legitiimse töötaja meilikontolt saadetud kiri tekitab saajas pea alati usaldust, on see ka üks mõjusamaid viise, kuidas meilikontosid püüda.

Nõuanded

  • Ära ava tundmatuid kirju, linke ja manuseid. Kui su tuttav või töökaaslane saadab tavapärasest erineva suhtlusviisi ja/või tekstiga lingi või manuse, küsi temalt alati üle alternatiivsete suhtluskanalite kaudu, millega on tegu.
  • Märka saadud kirjade puhul ebakõlasid – kohati veider lausete ülesehitus, grammatikavead jm. Kuigi masintõlge, mida ründajad kasutavad, areneb pidevalt, on võimalik siiski selle kasutust kirjastiili põhjal ära tunda.
  • Veendu, et meilidomeen, millelt kiri saadeti, on täht-tähelt sama, mis organisatsioonil peaks olema (nt google.com vs g00gle.com).
  • Kui kahtled kirja kavatsustes, tuleks see kindlasti edastada analüüsimiseks asutuse infoturbeosakonda. Samuti saab CERT-EE vajadusel aidata kahtlase sisuga kirjade analüüsiga. Selleks tuleks kiri saata aadressile cert@cert.ee.
  • Ära usu ähvardavaid ja kiiret tegutsemist nõudvaid kirju tundmatutelt saatjatelt, kellest sa pole kunagi varem kuulnud või kellega sul pole kunagi tegemist olnud.
  • Ole IT-vaatlik!

Avastati kriitiline turvanõrkus Confluence’i tarkvaras

Uuendatud 6. juunil kell 12

Nimetus: CVE-2022-26134

Taust

2. juunil avalikustas Atlassian Confluence’i tarkvara mõjutava kriitilise nullpäeva turvanõrkuse CVE-2022-26134 , mille abil saab autentimata kasutaja haavatavas süsteemis teostada koodi kaugkäitust. Turvanõrkuse avastas üks küberturbeettevõte, kes analüüsis parasjagu kliendi küberintsidenti ja leidis, et selle käigus oli kasutatud just seda seniteadmata haavatavust[1]. Ettevõtte sõnul kasutavad tõenäoliselt mitmed Hiinaga seostatavad küberühmitused hetkel aktiivselt seda turvanõrkust haavatavate süsteemide ründamiseks. Need rühmitused ei ole ainsad, kes on üritanud haavatavust kuritarvitada, vaid haavatavate süsteemide kaardistamisega tegelevad ka paljud teised pahatahtlikud osapooled[2].

Võimalik mõju ja haavatavad süsteemid

Turvanõrkus võimaldab süsteemi paigaldada autentimata kasutajal näiteks veebikesta, mille abil saab anda täiendavaid pahaloomulisi käske. Käskude abil on potentsiaalselt võimalik varastada kompromiteeritud süsteemides leiduvaid andmeid, paigaldada täiendavat pahavara, liikuda lateraalselt edasi või krüpteerida haavatavad süsteemid sootuks.

Kui 03.06.2022 kella 16:00 seisuga ei olnud turvanõrkuse kontseptsiooni tõendus (POC) veel avalikult kättesaadav, siis õige pea avalikustati ka see[3]. Seetõttu on väga oluline, et mõjutatud süsteemide haldajad võtaksid arvesse järgnevas peatükis välja toodud vastumeetmeid ja soovitusi. Tootja on juba jõudnud väljastada ka osadele tarkvaraversioonidele turvapaigad, samuti ka info ajutiste vastumeetmete kohta, kui turvapaikade rakendamine ei ole kohe võimalik. Täpsemat informatsiooni leiate tootja ametlikult kodulehelt.

Haavatavad on Confluence Serveri ja Data Centeri kõik versioonid, mis on uuemad kui 1.3.0[4]. Tootja on seisuga 06.06.2022 09:30 väljastanud turvapaigad versioonidele 7.4.17, 7.13.7, 7.14.3, 7.15.2, 7.16.4, 7.17.4 ja 7.18.1. Mõjutatud ei ole Atlassian Cloudi kasutavad Confluence’i lehed.

Võimalikud vastumeetmed ja soovitused

  1. Rakendada turvapaik, kui see on kättesaadav. Täpsema informatsiooni leiate tootja kodulehelt.
  2. Kõikidele Confluence Server ja Data Center süsteemidele tuleks piirata internetist ligipääs, näiteks ACL reeglitega.
  3. Kui ligipääsu piiramine ei ole võimalik, tuleks Confluence Serveri ja Data Centeri süsteemide kasutamine ajutiselt peatada ning oodata seni, kuni tootja väljastab turvapaiga ja see rakendada.
  4. Soovitame enda veebirakenduse tulemüüri pakkujalt uurida, milliseid kaitsemeetmeid Confluence’i vastu suunatud rünnete kohta pakutakse. Kui te ei ole veebirakenduse tulemüüri kasutusele võtnud, soovitame seda teha.
  5. Tootja hinnangul võib ohtu vähendada ka spetsiaalse reegli rakendamine veebirakenduse tulemüüris, mis blokeerib kõik URLid, mis sisaldavad ${.
  6. Veenduge, et rakendatud oleks süsteemide logimine ja võimalus logisid ka võimaliku intsidendi korral kätte saada ja analüüsida. Võimalusel tuleks logide varundusi hoida eraldatud süsteemis.
  7. Soovitame tutvuda järgneva intsidendi analüüsiga siin ning uurida, kas märkate logidest artiklis välja toodud IOC-sid. Samuti on artiklis välja toodud Yara reeglid, mis aitavad tuvastada süsteemidest veebikestade olemasolu, mida selle konkreetse intsidendi jooksul kasutati.
  8. Haavatavate süsteemide kompromiteerumise kahtluse korral palume teavitada CERT-EE-d, kirjutades meiliaadressile cert@cert.ee
  9. Kuna turvanõrkuse kohta tuleb informatsiooni jooksvalt juurde, soovitame jälgida CERT-EE igahommikust uudiskirja, mis kajastab kõige olulisemaid kübermaailmaga seotud uudiseid. Kui te ei ole sellega veel liitunud, siis leiate liitumiseks vajaliku informatsiooni siit. Samuti soovitame aeg-ajalt uurida tootja ametlikku lehte siin.

[1] https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/

[2] https://blog.cloudflare.com/cloudflare-observations-of-confluence-zero-day-cve-2022-26134/

[3] https://www.bleepingcomputer.com/news/security/exploit-released-for-atlassian-confluence-rce-bug-patch-now/

[4] https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

3. juuni 2022 kella 16 seisuga ei ole turvanõrkuse kontseptsiooni tõendus (POC) veel avalikult kättesaadav. See vähendab küll veel hetkel haavatavuse laialdast kasutamist, kuid suure tõenäosusega avaldatakse kontseptsiooni tõendus ka lähiajal. Juhime samuti tähelepanu sellele, et selleks ajaks ei olnud tootja väljastanud turvapaika haavatavuse parandamiseks. Seetõttu on tähtis, et mõjutatud süsteemide haldajad võtaksid arvesse järgnevas peatükis välja toodud vastumeetmeid ja soovitusi.

Haavatav on Confluence Server versioon 7.18.0 ning Confluence Data Centeri versioonid 7.4.0 või uuemad[2]. Mõjutatud ei ole Atlassian Cloudi kasutavad Confluence’i lehed [3].

Võimalikud vastumeetmed ja soovitused

  1. Kõikidele Confluence Server ja Data Center süsteemidele tuleb piirata internetist ligipääs, näiteks ACL reeglitega.
  2. Kui ligipääsu piiramine ei ole võimalik, tuleks Confluence Serveri ja Data Centeri süsteemide kasutamine ajutiselt peatada ning oodata seni, kuni tootja väljastab turvapaiga ja see rakendada.
  3. Kui kahte eelnevat soovitust ei ole võimalik järgida, siis võib tootja hinnangul ohtu vähendada ka spetsiaalse reegli rakendamine veebirakenduse tulemüüris, mis blokeerib kõik URLid, mis sisaldavad ${.
  4. Veenduge, et rakendatud oleks süsteemide logimine ja võimalus logisid ka võimaliku intsidendi korral kätte saada ja analüüsida. Võimalusel tuleks logide varundusi hoida eraldatud süsteemis.
  5. Kui tootja on turvapaiga kättesaadavaks teinud, tuleks see kohe rakendada.
  6. Soovitame tutvuda järgneva intsidendi analüüsiga siin ning uurida, kas märkate logidest artiklis välja toodud IOC-sid. Samuti on artiklis välja toodud Yara reeglid, mis aitavad tuvastada süsteemidest veebikestade olemasolu, mida selle konkreetse intsidendi jooksul kasutati.
  7. Haavatavate süsteemide kompromiteerumise kahtluse korral palume teavitada CERT-EE-d, kirjutades meiliaadressile cert@cert.ee
  8. Kuna turvanõrkuse kohta tuleb informatsiooni jooksvalt juurde, soovitame jälgida CERT-EE igahommikust uudiskirja, mis kajastab kõige olulisemaid kübermaailmaga seotud uudiseid. Kui te ei ole sellega veel liitunud, siis leiate liitumiseks vajaliku informatsiooni siit. Samuti soovitame aktiivselt jälgida jooksvalt uuendatavat blogi siin ning tootja ametlikku lehte siin.

[1] https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/

[2] https://blog.cloudflare.com/cloudflare-customers-are-protected-from-the-atlassian-confluence-cve-2022-26134/

[3] https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html

Vähem müra, selgem ohupilt: metoodika muutus küberintsidentide kajastamises

2020. aasta juulist lõpetame robotvõrgustikega Avalanche ja Necurs nakatumiste kajastamise CERT-EE intsidentide loetelus. Avalanche’i robotvõrgustik peatati rahvusvahelise politseioperatsiooni tulemusel 2016. aasta detsembris (kuid nakatumised jätkusid hiljemgi), Necursi võrgustiku sai Microsoft enda kontrolli alla 2020. aasta märtsis. Seega võib hinnata, et need kaks võrgustikku enam aktiivselt küberruumi ei ohusta.

Eesti küberintsidentide statistika RIA 2019. aasta küberturvalisuse aastaraamatus. Foto: RIA

Nende kahe võrgustikuga nakatumised on 2017-2019. aastal moodustanud ca 95% kõigist meie robotvõrgustikuga nakatumiste intsidentidest ning kuna me saame ja saadame neid teavitusi välja mõnikord mitu korda ööpäevas, siis moodustavad need ca 60% kõigist intsidentidest üldse.

See ei tähenda, et me enam nende nakatumistega ei tegeleks. Vastupidi – CERT-EE saadab üha tihedamini ja üha rohkem teavitusi välja robotvõrgustike (ja muu pahavaraga) nakatumiste kohta. Alates 2019 suvest on CERT-EE hakanud Eesti telekommunikatsiooniettevõtetele, veebiteenuste majutajatele ja oma võrke haldavatele asutustele välja saatma automatiseeritud teateid erinevate haavatavate seadmete / seadistuste kohta nende võrkudes. Automatiseeritus tähendab seda, et meie serverid saavad masinloetava info kätte usaldusväärselt allikalt, kes on loonud endale taristu haavatavuste ja nakatumiste tuvastamiseks üle terve maailma. Meie süsteemid jagavad info automaatselt edasi Eesti internetiruumis toimetavatele võrkude omanikele. Hetkel jõuab CERT-EEni info ca 3000 nakatumise kohta ööpäevas, mis mõjutab enam kui 700 serverit ja arvutit. Mõne seadme puhul on nakatumine olnud mitme pahavaraga korraga.

Mida rohkem taolisi allikaid me oma süsteemidesse integreerime, seda detailsemat pilti haavatavustest ja nakatumistest me Eesti IP-ruumi klientidele suudame pakkuda. Samas tähendab see ka teavituste tiheduse kasvu, mille ükshaaval statistikas kajastamine ei aita kaasa ohupildi selgemaks saamisele. Näiteks mai keskpaigast juuni keskpaigani oleme teada saanud ja seega ka teenusepakkujaid teavitanud 103 000-st nakatumisest. Numbreid analüüsides aga on näha, et ca 86 000 nendest olid seotud vaid kolme IP-aadressiga ja kokku teame 1701-st erinevast pahavaraga IP-aadressist. Paljud korduvad, paljud nakatumised on samuti seotud juba neutraliseeritud pahavarataristuga, seega ei anna need numbrid statistikas nii palju selgust juurde.

Avalanche’ ja Necurs robotvõrgustike nakatumiste kajastumise muutus hakkab esialgu silma paistma järsu intsidentide langusena (hinnanguliselt 50 – 60%), aga muudatuse tulemusel kajastab meie intsidentide statistika tegelikku ohupilti selgemalt. Kokkuvõtteid robotvõrgustikest plaanime teha ka edaspidi, aga teistmoodi, näidates nakatumiste trende üle teatud aja ning keskendudes nende dünaamikale.

Lauri Tankler
RIA juhtivanalüütik