Hôm nay tôi thảo luận về một véc tơ tấn công có lợi cho việc lây lan xuyên tổ chức, lan truyền cục bộ trong nhà. Mặc dù thường bị bỏ qua, ngày nay vectơ này đặc biệt có liên quan, vì nhiều nhân viên công ty vẫn làm việc tại nhà.
Trong bài đăng này, tôi đối chiếu việc lan truyền cục bộ trong nhà với các vectơ truyền thống mà qua đó mối đe dọa (đặc biệt là phần mềm tống tiền) lan truyền khắp tổ chức. Tôi thảo luận về những lý do khiến kiểu lây lan này gây khó khăn cho nhân viên cũng như các công ty. Cuối cùng, tôi đưa ra các giải pháp đơn giản để giảm thiểu rủi ro của các chiến thuật như vậy.
Tại sao các bên liên quan đến CNTT và bảo mật nên quan tâm?
Các cuộc tấn công chu kỳ dài ngày nay thường gợi lại môi trường nạn nhân trong nhiều tuần, nếu không phải là vài tháng. Trong thời gian này, kẻ tấn công có được một lượng lớn kiến thức về các hệ thống trong dấu chân của nạn nhân. Thời gian vắng mặt bổ sung này trong môi trường của nạn nhân, cùng với môi trường làm việc tại nhà được duy trì đặc biệt, cho thấy cả hai đại lộ xâm nhập đối với các cuộc tấn công vào mạng của họ cũng như lối ra đại lộ để tấn công từ mạng của bạn vào thiết bị cá nhân của nhân viên.
Chiến thuật tương phản
- Spread truyền thống – Trong một khoảng thời gian nào đó vào năm 2020, ngay cả khi chuyển sang WFH, ransomware tiếp tục lây lan thông qua một số véc tơ tương tự mà nó đã có trước đó. Sự lây lan phổ biến thông qua email, các trang web độc hại, lỗ hổng máy chủ, đám mây riêng và chia sẻ tệp. Thông thường, điều này là đủ để khiến kẻ tấn công bão hòa trong môi trường của nạn nhân. Tuy nhiên, trước khi có lối sống WFH của chúng ta, khi nó lây lan qua các tổ chức, nhiều vector trong số này phần lớn không thể áp dụng được. Điều này dẫn đến việc ngăn chặn nhiễm trùng một cách tự nhiên cho một tổ chức duy nhất.
- Tuyên truyền cục bộ trong nhà – Gần đây, những kẻ tấn công đã chuyển vùng từ các nạn nhân công ty ban đầu của chúng sang các hệ thống liền kề, bao gồm cả các điểm cuối khác trong nhà của nạn nhân. Không rõ 100% điều này có phải là do sự mở rộng tự nhiên của việc do thám mà họ đang thực hiện như một phần của nỗ lực đòi tiền chuộc bằng mã độc tống tiền kép của họ hay không (trong đó đòi tiền chuộc để giải mã các tệp và khoản tiền chuộc thứ hai được yêu cầu không để bị rò rỉ bị đánh cắp ), hoặc nếu điều này là do họ đang bám vào thực tế là các nạn nhân khác đang ở cách xa hàng mét.
Việc chuyển sang các hệ thống cục bộ vật lý có thể được thực hiện thông qua các vectơ lan truyền truyền thống, chẳng hạn như chia sẻ tệp mở, thông qua khai thác cục bộ (với mạng gia đình) các lỗ hổng hoặc thông qua chính các điểm truy cập (AP). Các AP / Bộ định tuyến tại nhà thường là:
- Cấp độ người tiêu dùng
- Được định cấu hình kém (thường có mật khẩu quản trị viên tiêu chuẩn / mặc định)
- Thiếu mã hóa hoặc bất kỳ biện pháp bảo mật nào giữa các thiết bị
- Và, bạn có thể quên việc phát hiện và phản hồi, vì không có nhật ký nào từ các thiết bị này sẽ đưa nó trở lại nhà cung cấp dịch vụ SIEM, SOC hay MDR của bất kỳ ai.
Điều này tạo cơ hội cho các tác nhân đe dọa lây lan thông qua việc tuyên truyền tại địa phương tại nhà.
Có một số lợi thế khác biệt cho họ khi làm như vậy.
Lây nhiễm thiết bị cá nhân của nhân viên:
- Mặc dù điều này có thể có nghĩa là một bên khác có khả năng phân chia khoản thanh toán tiền chuộc (nhân viên), nhưng giá trị thực trong việc lan truyền đến thiết bị cá nhân của nhân viên là đòn bẩy để buộc hoặc ảnh hưởng đến khoản thanh toán của công ty. Hãy tưởng tượng trong giây lát rằng nhân viên được đề cập là Giám đốc CNTT và bằng cách khuyến khích đội ngũ lãnh đạo của họ trả tiền chuộc để khôi phục tính liên tục của công việc, họ cũng tin rằng họ có thể giải mã album ảnh gia đình, máy chơi game hoặc máy tính xách tay làm việc của vợ / chồng.
Lây nhiễm các thiết bị của công ty bên thứ ba
- Như đã mô tả ở trên trước đây, các cách để chuyển sang các môi trường công ty riêng biệt hoặc bị hạn chế hoặc được bảo vệ tốt. Tuy nhiên, với việc các nhân viên ở các công ty khác nhau sống chung (vợ chồng, bạn cùng phòng) hoặc chia sẻ quyền truy cập internet (hàng xóm) – nạn nhân tiềm năng tiếp theo của công ty chỉ là một bước đệm, có thể là thông qua một AP / Router cấu hình kém.
Hậu quả
- Việc tuyên truyền cục bộ trong nhà thể hiện trách nhiệm lớn hơn đối với các công ty phải đối mặt với cuộc tấn công ransomware, vì nạn nhân nằm ngoài ranh giới công ty và tổ chức.
- Hơn nữa, khả năng giảm thiểu rủi ro bị hạn chế, vì họ không có khả năng kiểm soát trực tiếp cơ sở hạ tầng mạng của nhân viên làm việc tại nhà. Trên thực tế, sự tách biệt này được chính các nhân viên bảo vệ kịch liệt, với lý do lo ngại về quyền riêng tư – một trách nhiệm tiềm ẩn khác đối với bạn.
Các bước khắc phục
Để giảm thiểu nguy cơ lây lan ransomware cục bộ trong nhà (hoặc phần mềm độc hại khó chịu khác, vì vấn đề đó), nhóm CNTT và bảo mật có thể xem xét các bước sau:
- Khuyến khích cấu hình mạnh mẽ của các thiết bị mạng do nhân viên sở hữu
- Đảm bảo khả năng cập nhật phần mềm từ xa tốt, để giữ vệ sinh điểm cuối của máy khách ở mức tốt.
- Xác định và khắc phục các lỗ hổng trên các thiết bị đầu cuối của khách hàng
- Tham gia vào các hoạt động phát hiện và phản ứng (săn tìm mối đe dọa) trên các thiết bị đầu cuối và môi trường của bạn.
Tôi hy vọng bài viết này đã thu hút sự chú ý đến một vectơ có liên quan đặc biệt trong bối cảnh hiện tại. Để biết thêm thông tin về nhân giống địa phương tại nhà, hãy xem hội thảo trên web của chúng tôi có tiêu đề Sự phát triển của Cơ chế phân phối Ransomware-as-a-Service và Malware nơi tôi thảo luận về hiện tượng này với một nhóm chuyên gia gồm các chuyên gia an ninh mạng. Hoặc, để biết thêm về những phát triển khác trong ransomware, hãy xem báo cáo chính thức của chúng tôi về Sự trỗi dậy của Ransomware-as-a-Service, mà tôi đã đóng góp.
Lưu ý – Bài viết này được đóng góp và viết bởi Sean Hittel, Kỹ sư bảo mật xuất sắc tại ActZero.ai. Ông có hơn 20 năm kinh nghiệm trong lĩnh vực thiết kế động cơ bảo vệ mối đe dọa khái niệm mới.
ActZero.ai thách thức phạm vi bảo mật an ninh mạng đối với các doanh nghiệp vừa và nhỏ MB và các công ty tầm trung. Intelligent MDR của họ cung cấp hỗ trợ giám sát, bảo vệ và phản hồi 24/7, vượt xa các giải pháp phần mềm của bên thứ ba khác. Nhóm các nhà khoa học dữ liệu của họ tận dụng các công nghệ tiên tiến như AI và ML để mở rộng tài nguyên, xác định các lỗ hổng và loại bỏ nhiều mối đe dọa hơn trong thời gian ngắn hơn. Họ tích cực hợp tác với khách hàng để thúc đẩy kỹ thuật bảo mật, tăng hiệu suất và hiệu quả nội bộ và cuối cùng, xây dựng một thế trận an ninh mạng trưởng thành. Cho dù xây dựng chiến lược bảo mật hiện tại hay đóng vai trò là tuyến phòng thủ chính, ActZero vẫn cho phép tăng trưởng kinh doanh bằng cách trao quyền cho khách hàng để phủ sóng nhiều hơn.
