Злоумышленники уже давно используют социальную инженерию, чтобы обманом заставить своих жертв предоставить доступ или информацию, недоступную широкой общественности. Социальная инженерия продолжает доказывать свою эффективность и, вероятно, станет ключевым фактором инцидентов безопасности в 2024 году. Команда реагирования на инциденты CrowdStrike столкнулась с аномально высоким числом успешных взломов, начавшихся с тактик социальной инженерии, и мы настоятельно рекомендуем специалистам по безопасности принять меры предосторожности против них.
Сегодня злоумышленники постоянно разрабатывают новые способы сделать свои кампании социальной инженерии более скрытными и эффективными, о чем свидетельствуют их новейшие методы, подробно описанные в отчете CrowdStrike 2024 Global Threat Report. Фишинг, голосовой фишинг (вишинг) и SMS-фишинг (смишинг) входят в число методов социальной инженерии, которые стали более распространенными за последний год, и несколько хакерских группировок успешно использовали эти методы для атак на крупные организации с высоким уровнем зрелости систем безопасности.
Поскольку социальная инженерия продолжает развиваться и представлять серьезную угрозу, специалистам по безопасности любого уровня зрелости необходимо подготовиться к защите от этих методов.
Сценарий: Социальная инженерия на практике
Ваша ИТ-служба поддержки получает встревоженный звонок от «сотрудника», который не может войти в рабочие системы. После того как первоначальное устранение неполадок не дает результатов, «сотрудник» начинает оказывать давление на сотрудника техподдержки, создавая ощущение срочности: «Вы не могли бы просто сбросить мне пароль? У меня дедлайн, и из-за этого я отстаю от графика». Политика многих организаций требует задать контрольные вопросы и связаться с руководителем позвонившего для сброса пароля, но в данном случае аналитик техподдержки поддается на уговоры и неохотно сбрасывает пароль без одобрения руководителя.
Примерно через час в службу поддержки начинают поступать звонки от пользователей, сообщающих, что они не могут получить доступ к ресурсам сети. Для ИТ-отдела и отдела информационной безопасности становится очевидно, что происходит атака программы-вымогателя.
В ходе реагирования на инцидент выясняется, что запрос на сброс пароля исходил не от легитимного пользователя, а от злоумышленника, выдавшего себя за него. Затем злоумышленник использовал этот незаконно полученный доступ к сети для развертывания программы-вымогателя и компрометации сети.
Этот сценарий — лишь один из многих примеров социальной инженерии. Команда реагирования на инциденты CrowdStrike наблюдает тревожный рост числа попыток социальной инженерии с целью получения доступа к конфиденциальным ИТ-системам и привилегированным учетным записям, что снижает общие затраты времени и усилий, необходимые для взлома организации и горизонтального перемещения в сети. Мы рекомендуем группам безопасности принимать меры предосторожности против методов проникновения, подобных тем, что описаны в сценарии выше.
Почему социальная инженерия эффективна?
Злоумышленников привлекает в социальной инженерии несколько аспектов. Хакер, пытающийся осуществить технический взлом, может столкнуться с порталами аутентификации, брандмауэрами и другими техническими препятствиями, однако социальная инженерия может использовать эмоции, срочность и вымышленные предлоги в качестве рычагов воздействия, чтобы убедить человека предоставить свои учетные данные для доступа. Социальная инженерия эксплуатирует человеческий фактор, чтобы обходить процессы безопасности, действующие в организации.
Если злоумышленнику удается с помощью социальной инженерии заставить жертву предоставить доступ к среде, результат может быть крайне выгодным. Поскольку полученный доступ был предоставлен «сотруднику», он выглядит легитимным, не привлекает внимания и не вызывает срабатывания первоначальных средств обнаружения. Это дает злоумышленнику время на проведение разведки в среде, сбор конфиденциальной информации и, в некоторых случаях, мониторинг каналов чата, чтобы определить, была ли обнаружена его активность.
Как только злоумышленнику удается проникнуть в систему с помощью социальной инженерии, он может получить привилегированный доступ к учетным записям уровня администратора, что позволяет ему быстро распространяться и эскалировать привилегии, похищать конфиденциальные данные и развертывать программы-вымогатели, способные нарушить бизнес-процессы. Наличие легитимных привилегированных учетных данных снижает вероятность обнаружения, давая злоумышленнику дополнительное время для полной компрометации организации.
Фишинг
Фишинг — это мошенническое использование электронной почты для сбора информации, кражи учетных данных или развертывания вредоносного ПО в системе. Было замечено, что такие государственные хакерские группировки, как HELIX KITTEN, используют целевой фишинг (spear-phishing), то есть атакуют конкретные, а иногда и привилегированные учетные записи пользователей с помощью электронных писем, содержащих вредоносные макросы во вложениях.
Зачастую вместо вложения предоставляется ссылка на выглядящий легитимным портал аутентификации Microsoft O365 или Okta вместе с тревожным предлогом, таким как «недавняя подозрительная активность» вокруг аккаунта или истечение срока действия пароля. Фальшивый портал входа перехватывает все введенные учетные данные, которые затем могут быть использованы злоумышленником для доступа к целевой учетной записи. Некоторые платформы, такие как evilginx и modlishka, предоставляют злоумышленникам возможность обходить механизмы двухфакторной аутентификации.
Вишинг
Вишинг — это манипулятивное использование голосовой связи с целью принудить жертву предоставить доступ к системам или информации. В последние месяцы такие злоумышленники, как SCATTERED SPIDER, нацеливаются на службы поддержки, чтобы инициировать сброс паролей и подмену механизмов многофакторной аутентификации (MFA) для конкретных учетных записей пользователей. Это дает злоумышленнику аутентифицированный доступ в целевую сеть.
Вишинг во многом опирается на выдачу себя за другое лицо, разведку и тщательную подготовку перед звонком. Например, злоумышленник может составить список потенциальных целей, выполнив поиск сотрудников компании в LinkedIn. Затем он изучает каждый профиль, чтобы выяснить, кто из них раскрывает больше всего информации, и переходит на другие сайты социальных сетей для сбора дополнительных сведений о роли человека, стаже работы в компании, месте жительства и ответах на потенциальные контрольные вопросы.
Разведка также включает в себя изучение систем, используемых компанией, или принципов работы ее службы поддержки. Злоумышленник может позвонить в службу поддержки под другим именем, чтобы узнать, какие вопросы могут быть заданы для подтверждения личности, или изучить вакансии организации, чтобы узнать о используемом программном обеспечении и инфраструктуре.
Ключевым элементом вишинга является подача. Если процессы безопасности слабы, а у злоумышленника достаточно информации, чтобы убедить сотрудника техподдержки в том, что звонок не представляет угрозы, может оказаться достаточно простых любезностей. Тем не менее, иногда используются эмоции и манипуляции, чтобы попытаться нарушить существующие процессы и убедить человека на другом конце провода в том, что он должен отклониться от стандартной процедуры ради помощи сотруднику. Примеры включают слезы, запугивание или симуляцию технических трудностей.
Смишинг
Смишинг — это мошенническое использование коротких текстовых сообщений (SMS) для манипулирования целью с целью получения информации или предоставления доступа к системе или учетной записи. В зависимости от поставленной задачи, смишинг может быть направлен как на широкую группу лиц, так и на конкретных людей. Самое сообщение иногда может содержать запрос на предоставление личной информации (PII) жертвы или попытку убедить ее перейти по предоставленной ссылке.
В контексте компрометации организации СМС-фишинг (смишинг) может принимать различные формы. Если атакуемый номер телефона связан с корпоративным устройством, конфиденциальный доступ и информация на устройстве подвергаются риску компрометации, если пользователь перейдет по вредоносной ссылке.
Независимо от устройства, злоумышленник может нацелиться на конкретного пользователя для сбора информации, которую в дальнейшем можно использовать для ответов на контрольные вопросы на следующем этапе атаки методом социальной инженерии.
Защита от социальной инженерии
Социальная инженерия при эффективном проведении может облегчить злоумышленнику задачу незаметного перемещения по инфраструктуре жертвы. Следуйте этим советам, чтобы защитить свою организацию от распространенных методов социальной инженерии:
- Используйте контрольные вопросы, которые сложно найти с помощью поиска: предложите пользователю предоставить информацию, которую непросто обнаружить в открытых источниках, например инвентарный номер его рабочей станции.
- Используйте многофакторную аутентификацию (MFA): требуйте от всех сотрудников использовать многофакторную аутентификацию для доступа к корпоративным ресурсам. Это добавляет дополнительный уровень безопасности в случае компрометации пароля.
- Внедрите многоуровневую проверку при сбросе паролей: создайте несколько уровней безопасности в процессе сброса пароля. Например, требуйте ответа на контрольные вопросы и одобрения от руководителя либо подтверждения push-уведомления.
- Обучайте и информируйте сотрудников службы поддержки (help desk): расскажите всем сотрудникам службы поддержки о действующих процессах безопасности и рисках, связанных с их несоблюдением.
- Держите сотрудников в курсе актуальных угроз: если организации становится известно о кампании социальной инженерии, направленной против ее сотрудников, немедленно уведомите их об этом и предоставьте способ сообщения о подозрительной активности.
- Используйте белые списки для установки программного обеспечения в системах: ограничьте список ПО, разрешенного к установке в корпоративных системах. Четко определяя разрешенное программное обеспечение, организация тем самым запрещает установку и запуск всего ПО, отсутствующего в этом списке. Это может предотвратить установку и использование на вид безобидных программ, которые могут применяться в злонамеренных целях, например инструментов удаленного мониторинга и управления.
Как CrowdStrike может помочь
- Повышайте технологические возможности мониторинга идентификационных данных и конечных точек, чтобы обеспечить единую видимость для команд безопасности без пробелов или изоляции, которыми могли бы воспользоваться злоумышленники.
- Проводите имитационные учения с участием «красной команды» (red team), включающие фишинг, голосовой фишинг (вишинг) и СМС-фишинг (смишинг). Тестируйте и проверяйте процессы реагирования и возможности защиты «синей команды» (blue team) для обеспечения готовности к методам социальной инженерии.
- Оценивайте уровень зрелости организации с помощью оценки киберзрелости (Cybersecurity Maturity Assessment) от CrowdStrike Services для анализа общих процессов и возможностей безопасности, включая защиту от попыток социальной инженерии со стороны злоумышленников.
Дополнительные ресурсы
- Посетите веб-страницу CrowdStrike Services для получения дополнительной информации о широком спектре предоставляемых нами услуг поддержки: реагирование на инциденты, технические оценки, обучение и консалтинг.
- Узнайте, как мощная платформа CrowdStrike Falcon® обеспечивает комплексную защиту всей вашей организации, сотрудников и данных, где бы они ни находились.
- Посетите нашу веб-страницу признания отраслевыми экспертами и технологического подтверждения, чтобы узнать, что говорят аналитики рынка о CrowdStrike и платформе Falcon.
- Получите полнофункциональную бесплатную пробную версию CrowdStrike Falcon Prevent™ и убедитесь сами, как работает настоящее антивирусное ПО нового поколения против самых сложных современных угроз.