Štítek: Kybernetická bezpečnost

Jak napadnout systémy, vyřadit z chodu důležitou infrastrukturu a „vyzobávat“ data firem? Hackeři jsou stále sofistikovanější. Aktuálně se zaměřují na útoky označované jako watering hole. Pojďme se podívat na to, jak kyberzločinci tuto taktiku použili při pokusu otrávit zdroj pitné vody pro 15 tisíc obyvatel.

K tomuto případu došlo ve vodárně – místním hlavním zdroji pitné vody – v americkém městě Oldsmar na Floridě. Podle zjištění byla bezpečnost vodárny opravdu „děravá“. Používali počítače s neaktualizovaným operačním systémem Windows 7 s vypnutým firewallem, pro vzdálený přístup přímo ke kritickým komponentům používali program TeamViewer zabezpečený jenom jedním heslem, které si sdíleli různí pracovníci. Hackeři získali přístup k interním systémům vodárny právě přes TeamViewer. Útoku ale předcházela „průzkumná“ fáze, kdy se útočníci snažili svou oběť poznat a shromáždit o ní co nejvíce informací.

Se získanými znalostmi se připojili k řídicímu systému vodárny a pokusili se stonásobně zvýšit dávkování hydroxidu sodného do vody. Pokud by se jim to podařilo, došlo by k otravě tisíců lidí. Neštěstí  zabránil operátor, který se po příchodu do práce přihlásil k počítači a všiml si na něm podezřelé aktivity. Zaměstnanec sledoval na monitoru volně se pohybující myš počítače. Hackeři tímto způsobem během chvíle navýšili koncentraci hydroxidu sodného a zmizeli.

„Pokud by si toho pracovník nevšimnul, mohlo dojít ke katastrofě. Faktem je, že podobných případů je ve světě mnoho. Akorát se jimi nikdo moc nechlubí, takže se o nich  nedozvíme,“

podotýká Martin Lohnert, ředitel centra kybernetické bezpečnosti Void SOC a IT specialista společnosti Soitron.

Zaměstnanci nevědomky posílali hackerům data

Jak je ale možné, že se útočníkům něco takového povedlo? Důležitá infrastruktura je přece důkladně hlídaná?

„Ukázalo se, že v tomto případě získali útočníci citlivé informace i díky taktice, tzv. watering hole. Představte si oázu v poušti, kterou útočník obrazně řečeno otráví a pak jen čeká, až se oběť přijde osvěžit a nevědomky se nakazí sama.

V kyberprostoru takovou „oázou“ může být často navštěvovaná webstránka či online diskusní fórum. To byl i případ ve zmiňované americké vodárně,“ vysvětluje Martin Lohnert. 

Útočnici před útokem na Oldsmar infikovali web jiné společnosti – a nahráli do něj škodlivý software. Kód se objevoval v zápatí webu, který často navštěvovali zaměstnanci vodáren (i té v Odsmaru.) Byl provozovaný na systému WordPress. Útočníci prolomili ochranu webstránky díky jednomu z mnoha zranitelných pluginů. Na ní umístili škodlivý kód, který z PC návštěvníků bez jejich vědomí sbíral data.  Tyto informace pak zřejmě využili k  namyšlení a provedení samotného útoku na Oldsmar.

Zranitelnost nultého dne

Výhodou pro hackery je, že watering hole je technika, která nevyžaduje osobní účast útočníka. Hacker naruší bezpečnost obětí často navštěvovaných webových stránek. Na web umístí škodlivý kód nebo obsah ke stažení. „Útočník následně vyčkává, dokud jeho oběť stránky nenavštíví a pak provede injektáž kódu do počítače návštěvníka skrze web,“ říká Martin Lohnert.

Watering hole provádějí elitní hackeři a státy sponzorované skupiny. Často využívají takzvanou zranitelnost nultého dne. V informatice se tak označuje útok, který se v počítači snaží využít zranitelnosti používaného softwaru, která není ještě obecně známá a neexistuje proti ní obrana prostřednictvím konkrétního softwaru či počítačového systému. Díky tomu je schopen některé ochranné řešení obejít.

„Hackeři pokračují v osvědčených tricích, šíří vyděračské a jinak škodlivé viry. Je důležité tyto, v uvozovkách populární nástroje, aby uživatelé věděli, jak se chránit,“

doporučuje závěrem Martin Lohnert.

Jak se tak sofistikovaným útokům bránit?

Firmy musí být v rámci ochrany svých systémů velmi aktivní. Důležité je nastavení a pravidelné kontrolování procesů zaměřených na zjištění kybernetické bezpečností v dané firmě. Podstatný je i reakční čas, pokud monitoring kybernetické bezpečnosti zachytí průnik do systémů firmy. „Ne každý incident musí mít špatný konec, když se začne situace řešit okamžitě minimalizujete škody, např.  odpojením napadeného zařízení v provozu,“ říká závěrem Martin Lohnert. Odpovědi na otázky, co dělat před útokem a po útoku, jsou podrobně popsány ve článku: Víte, na co se ptát, pokud jste obětí kyberútoku?

Kyberútočníkem se dnes během chvilky může stát každý a nepotřebuje k tomu z tohoto oboru umět zhola nic. Stačí projít formálním přijímacím řízením na „darknetu“, vlastnit mobil, nebo USB flash disk a mít on-line či off-line přístup do firmy. Během chvilky naštvaný zaměstnanec, návštěva ve firmě, konkurence nebo jen potenciální uchazeč o práci může vytipované organizaci přivodit mnohamilionové škody, odstavit její výrobu a sám si přijít na nesmírný balík peněz.

Odvětví kyberkriminality se obrovským způsobem vyvíjí a přizpůsobuje novým digitálním návykům. Pandemie navíc tento přirozený jev akcelerovala nečekaným způsobem, a tak se počítačová kriminalita stala vysoce lukrativní a organizovanou výnosnou činností.

„Vývoj v tomto oboru došel dokonce tak daleko, že kybernetičtí zločinci prostřednictvím stále se vylepšujícího obchodního modelu poskytují své služby a hackerské nástroje komukoliv, kdo je ochoten za ně zaplatit nebo se rozdělit o zisk,“ vysvětluje Martin Lohnert, bezpečnostní odborník společnosti Soitron. „Můžeme to přirovnat k partnerským modelům prodeje známým z odvětví IT.“

Hackerské skupiny tak rekrutují a k provedení sofistikovaných útoků používají běžné lidi nebo skupiny, které nazývají partnery. Tento nový scénář je v současné době velmi v kurzu. Útoky se díky němu posunuly od útočení „na slepo“ k provádění vysoce zaměřených kampaní prosazovaných prostřednictvím metody cybercrime-as-a-service.

Co je to počítačová kriminalita jako služba

Cybercrime-as-a-Service (CaaS) je termín, který se používá k popisu organizovaného obchodního modelu. Sdružuje vývojáře malwaru a hackery, za účelem prodat nebo pronajmout své nástroje a služby partnerům na „darknetu“. Díky tomu jsou tyto prostředky používané v počítačové kriminalitě přístupné každému, kdo chce zahájit kybernetický útok – i těm, kteří nemají technické znalosti ani software.

Jak je CaaS organizovaná

Kyberzločinci využívající výhod tohoto obchodního modelu jsou dobře organizovaní.

„Mohli bychom je doslova přirovnat k legitimním podnikům s korporátní kulturou, tedy s jasnou hierarchií personálu – inženýři, vedoucí pracovníci, vývojáři, finanční oddělení a zástupci technické podpory. Posledně jmenovaná skupina pomáhá ‚zákazníkům‘ tedy hekerům, kteří mají zájem provést útok na vybraný cíl, aby správně prošli technickou stránkou útoků,“ zdůrazňuje Martin Lohnert. Zjednodušeně by se dalo říci, že jim poskytnou informace o používání hackerského „produktu“.

Pokud se útočníkům z řad partnerů podaří nakazit malwarem organizaci, je o tom speciálním týmem v hierarchii hackerského gangu uvědomena a ten požaduje „výkupné“. Může se tak stát ještě před aktivací malwaru, nebo případně i po jeho spuštění. Jestliže dojde k zaplacení požadované – většinou několikamilionové částce – nastupují najmutí „mezci peněz“. Ty přesouvají získané finanční prostředky přes různé bitcoinové „mixéry“ a jiné služby, aby bylo obtížné je dohledat. Jakmile jsou peníze „vyprány“, jsou poté uloženy na účet organizované skupiny.

Pro útoky jsou tvořeny speciální kybernetické balíčky

Kybernetické „zbraně“ si lze pronajmout na hodinu, den nebo měsíc. A lze si je pronajmout za pár dolarů. Například k zapůjčení nástroje pro vykonání DDoS (útoku, který způsobí nedostupnost stránky či služby jejím zahlcením)  na jeden den stačí zaplatit kolem 60 USD. Za přibližně 400 USD si jej například naštvaný zaměstnanec může pronajmout na týden.

Ceny se liší i v závislosti na propracovanosti škodlivého softvéru. Ti, kteří chtějí provést jen drobný jednorázový útok, si mohou zakoupit jen low-endové sady malwaru, které stojí méně než 100 USD. Ty je ale samozřejmě také snadněji ohdalit a zneškodnit. Ten, kdo plánuje způsobit velké škody, bude muset za komplexnější malware zaplatit mnohem víc. Na druhou stranu, pokud uspěje, tak se mu vrátí několikanásobně vyšší částka. Některé tyto ransomwarové „řešení“ si lze pronajmout za 1 000 USD na měsíc. Jedním z těch dražších je třeba Maze Ransomware Kit, který stojí kolem 84 000 USD.

Hackerské gangy mají zisk nejen z pronájmu, nebo prodeje svých produktů a služeb, ale také z provizí z útoků. Provozovatelé nebo vývojáři mohou hekerským „partnerům“ pomoci na míru naprogramovat například svůj ransomware a na základě obchodního modelu na útoku participovat tím, že z výkupného získají provizi.

„Obě strany si většinou zisk dělí v poměru 60:40 nebo 70:30. To znamená, že hekující útočník získá 60 nebo 70 % ze zisku a vývojářské skupině odvede provizi 30 nebo 40 %,“ uvádí Martin Lohnert.

V některých případech „mateřské“ společnosti výkupné rovnou vyzvednou, nechají si dohodnutou provizi a zbytek pošlou útočníkovi.

Proč se CaaS obávat

Undergroundová fóra jsou plná reklam na různé malwarové sady, což je jistou známkou prosperující temné webové ekonomiky. Nabízejí slevy na nákupy nad určitou částku, balíčky, které mohou útočníci kombinovat, 24hodinovou podporu, a nechybí možnost začíst se do recenzí či hodnocení zákazníků. Jejich pořízení je jako nákup jakéhokoli jiného produktu poskytujícího software jako službu.

Toto je extrémně nebezpečné a problematické. Tento trend jde napřed každému, kdo hledá rychlé nelegální peníze, aby snadno zahájil útok. Zkušeným aktérům hrozeb to potom dává možnost rozvíjet další nástroje a služby tak, aby ještě více posílili svůj „arzenál“. I z tohoto důvodu je v posledních letech kybernetická kriminalita na vzestupu a CaaS přináší další možnost pro její akceleraci.

Že opravdu jde o výnosný byznys, dokazuje nedávno medializovaný případ skupiny DarkSide, kterých malware vyřadil na 6 dní potrubní systém pro rafinované ropné produkty na východním pobřeží USA: Společnost Colonial Pipeline zaplatila výkupné 5milionú dolarů a další šetření ukázalo že DarkSide jen za posledních 9 měsíců zinkasovalo víc než 90miliónú.

Musí přijít změny

Pokud se nezmění přístup organizací k zabezpečení, škody budou přibývat a budou větší i častější, jak dokládá i tento příklad. Gangy činné v počítačové kriminalitě nyní fungují prostřednictvím obchodního modelu poskytovaného jako služba s organizovanou hierarchií „odborníků“, kteří nabízejí profesionální služby. Pro udržení ransomwaru na uzdě hraje roli každý.

„Nezbytně nutné je začít brát kybernetickou bezpečnost vážně. Zmapovat a snížit potencionální rizika. Stanovit a dodržovat podnikové standardy a vzdělávat v tomto směru i zaměstnance. Jen tak lze v tomto boji uspět,“ konkretizuje Martin Lohnert.