Злоумышленники уже давно используют социальную инженерию, чтобы обманом заставить своих жертв предоставить доступ или информацию, не предназначенную для публичного использования. Социальная инженерия продолжает доказывать свою эффективность и, вероятно, станет одним из ключевых факторов при взломах в 2024 году. Команда реагирования на инциденты CrowdStrike столкнулась с аномально высоким числом успешных взломов, начавшихся с тактик социальной инженерии, и мы настоятельно призываем команды безопасности принять меры предосторожности против них.

Современные злоумышленники постоянно разрабатывают новые способы сделать свои кампании социальной инженерии более тонкими и эффективными, что подтверждается их новейшими методами, подробно описанными в отчете CrowdStrike 2024 Global Threat Report. Фишинг, голосовой фишинг (вишинг) и SMS-фишинг (смишинг) — это методы социальной инженерии, которые стали более распространенными за последний год, и несколько хакерских группировок успешно использовали их для атак на крупные организации с развитыми программами безопасности.

Поскольку социальная инженерия продолжает развиваться и представлять серьезную угрозу, командам безопасности любого уровня зрелости необходимо подготовиться к защите от этих методов.

Сценарий: Социальная инженерия на практике

Ваша служба ИТ-поддержки получает встревоженный звонок от «сотрудника», который не может войти в рабочие системы. После того как первоначальное устранение неполадок не дает результатов, «сотрудник» начинает давить на аналитика службы поддержки, создавая ощущение срочности: «Вы не можете просто сбросить мой пароль? У меня дедлайн, и из-за этого я отстаю от графика». Политика многих организаций требует задать контрольные вопросы и подтвердить личность у руководителя звонящего, чтобы сбросить пароль, но в данном случае аналитик службы поддержки поддается уговорам и неохотно сбрасывает пароль без одобрения руководителя.

Примерно через час в службу поддержки начинают поступать звонки от пользователей, сообщающих, что они не могут получить доступ к сетевым ресурсам. ИТ-отделу и отделу информационной безопасности становится ясно, что происходит атака с использованием программ-вымогателей.

В ходе реагирования на инцидент выясняется, что пользователь, запросивший сброс пароля, не был легитимным сотрудником, а являлся злоумышленником, выдававшим себя за него. Затем злоумышленник использовал этот незаконно полученный доступ к сети для развертывания программы-вымогателя и компрометации сети.

Этот сценарий — лишь один из многих примеров социальной инженерии. Команда реагирования на инциденты CrowdStrike отмечает тревожный рост попыток социальной инженерии с целью получения доступа к конфиденциальным ИТ-системам и привилегированным учетным записям, что сокращает общее время и усилия, необходимые для взлома организации и горизонтального перемещения внутри сети. Мы рекомендуем командам безопасности принять меры предосторожности против методов проникновения, подобных тем, что описаны в сценарии выше.

Почему социальная инженерия эффективна?

Несколько аспектов делают социальную инженерию привлекательной для злоумышленников. Хакер, пытающийся осуществить технический взлом, может столкнуться с порталами аутентификации, межсетевыми экранами и другими техническими препятствиями, но социальная инженерия может использовать эмоции, срочность и предлоги в качестве рычага, чтобы убедить человека предоставить свои учетные данные. Социальная инженерия использует человеческий фактор, чтобы обойти процессы безопасности, действующие в организации.

Если злоумышленнику удается с помощью социальной инженерии убедить цель предоставить доступ к среде, результат может быть весьма прибыльным. Поскольку полученный доступ был предоставлен «сотруднику», он выглядит легитимным и не привлекает внимания и не вызывает срабатывания первичных систем обнаружения. Это дает злоумышленнику время для разведки среды, сбора конфиденциальной информации и, в некоторых случаях, мониторинга каналов чата, чтобы определить, была ли обнаружена активность.

Как только злоумышленнику удается проникнуть в систему с помощью социальной инженерии, он может получить привилегированный доступ к учетным записям административного уровня, что позволяет ему быстро распространяться и повышать привилегии, захватывать конфиденциальные данные и развертывать программы-вымогатели, которые могут нарушить бизнес-процессы. Наличие легитимных привилегированных учетных данных снижает вероятность обнаружения, давая злоумышленнику дополнительное время для полной компрометации организации.

Фишинг

Фишинг — это обманное использование электронной почты для сбора информации, захвата учетных данных или развертывания вредоносного ПО в системе. Было замечено, что хакерские группировки, поддерживаемые государством, такие как HELIX KITTEN, используют кампании целевого фишинга (spear-phishing), то есть атакуют конкретные и иногда привилегированные учетные записи пользователей с помощью электронных писем, содержащих вредоносные макросы во вложениях.

Зачастую вместо вложения предоставляется ссылка на выглядящий легитимно портал аутентификации Microsoft O365 или Okta вместе с тревожным предлогом, таким как «недавняя подозрительная активность» в учетной записи или истечение срока действия пароля. Фальшивый портал входа захватывает все введенные учетные данные, которые затем могут быть использованы злоумышленником для доступа к целевой учетной записи. Некоторые платформы, такие как evilginx и modlishka, предлагают злоумышленникам возможность обходить механизмы двухфакторной аутентификации.

Вишинг

Вишинг — это манипулятивное использование голосовой связи, чтобы принудить цель предоставить доступ к системам или информации. В последние месяцы такие хакерские группировки, как SCATTERED SPIDER, атакуют службы поддержки, чтобы инициировать сброс паролей и замену многофакторной аутентификации (MFA) для конкретных учетных записей пользователей. Это дает злоумышленнику аутентифицированный доступ к целевой сети.

Вишинг в значительной степени опирается на имитацию, разведку и тщательное исследование перед звонком. Например, злоумышленник может составить список потенциальных целей, просматривая LinkedIn в поисках сотрудников компании. Затем он может изучить каждый профиль, чтобы увидеть, кто из них предоставляет больше всего информации, и перейти на другие сайты социальных сетей, чтобы собрать дополнительные сведения о роли человека, стаже работы в компании, месте жительства и ответах на потенциальные контрольные вопросы.

Разведка также включает в себя ознакомление с системами, которые использует компания, или с тем, как работает ее служба поддержки. Злоумышленник может позвонить в службу поддержки под другим именем, чтобы узнать, какие вопросы могут быть заданы для подтверждения личности, или изучить списки вакансий организации, чтобы узнать о программном обеспечении и инфраструктуре, которые она использует.

Ключевым элементом вишинга является исполнение. Если процессы безопасности слабы, а у злоумышленника достаточно информации, чтобы убедить сотрудника службы поддержки в том, что звонок безопасен, может хватить простых любезностей. Однако иногда используются эмоции и манипуляции, чтобы попытаться нарушить установленные процессы и убедить человека на другом конце провода отступить от стандартной процедуры, чтобы помочь «сотруднику». Примеры включают плач, запугивание или симуляцию технических трудностей.

Смишинг

Смишинг — это обманное использование службы коротких сообщений (SMS) для манипулирования целью с целью получения информации или предоставления доступа к системе или учетной записи. В зависимости от цели, смишинг может быть направлен на широкую группу лиц или на конкретных людей. Само сообщение иногда может запрашивать у цели персонально идентифицируемую информацию (PII) или пытаться убедить цель перейти по предоставленной ссылке.

В контексте компрометации организации смишинг может принимать самые разные формы. Если целевой номер телефона связан с рабочим устройством, то при переходе пользователя по вредоносной ссылке возникает риск компрометации конфиденциальных данных и доступа к устройству.

Независимо от типа устройства, злоумышленник может нацелиться на конкретного пользователя, чтобы собрать информацию, которая впоследствии будет использована для ответов на контрольные вопросы на другом этапе атаки с применением социальной инженерии.

Защита от социальной инженерии

Эффективно проведенная социальная инженерия может облегчить злоумышленнику незаметное перемещение по среде жертвы. Следуйте этим советам, чтобы защитить свою организацию от распространенных методов социальной инженерии:

Используйте контрольные вопросы, ответы на которые сложно найти: просите пользователей предоставлять информацию, которую нельзя легко обнаружить в открытых источниках, например, инвентарный номер их рабочей станции.
Используйте MFA: требуйте, чтобы все сотрудники использовали многофакторную аутентификацию для доступа к ресурсам организации. Это добавляет еще один уровень безопасности на случай компрометации пароля.
Внедрите многоступенчатую проверку при сбросе пароля: создайте несколько уровней безопасности в процессе сброса пароля. Например, требуйте ответы на контрольные вопросы, одобрение руководителя или подтверждение push-уведомления.
Обучайте сотрудников службы поддержки: информируйте всех сотрудников службы поддержки о действующих процессах безопасности и рисках, связанных с их несоблюдением.
Держите сотрудников в курсе актуальных угроз: если организации становится известно о кампании социальной инженерии, направленной на ее сотрудников, немедленно уведомляйте их об этом и предоставляйте способ сообщить о подозрительной активности.
Используйте списки разрешенного ПО для установки на системы: ограничьте перечень программного обеспечения, которое можно устанавливать на системы организации. Четко определяя разрешенное ПО, организация неявно запрещает установку и выполнение любого другого программного обеспечения. Это может предотвратить установку и использование на первый взгляд безобидных инструментов, которые могут быть задействованы в злонамеренных целях, например, инструментов удаленного мониторинга и управления.

Как CrowdStrike может помочь

Расширяйте технологические возможности для мониторинга идентификационных данных и конечных точек, чтобы обеспечить единую видимость для команд безопасности и исключить пробелы или изолированные сегменты, которыми могут воспользоваться злоумышленники.
Проводите учения Red Team, включающие фишинг, вишинг и смишинг. Тестируйте и проверяйте процессы реагирования и возможности защиты Blue Team, чтобы обеспечить готовность к противодействию методам социальной инженерии.
Оценивайте зрелость организации с помощью оценки киберзрелости (Cybersecurity Maturity Assessment) от CrowdStrike Services, чтобы проанализировать общие процессы и возможности безопасности, включая защиту от попыток социальной инженерии со стороны злоумышленников.

Дополнительные ресурсы

Посетите веб-страницу CrowdStrike Services для получения дополнительной информации о широком спектре предлагаемых нами услуг: реагирование на инциденты, техническая оценка, обучение и консультационные услуги.
Узнайте, как мощная платформа CrowdStrike Falcon® обеспечивает комплексную защиту вашей организации, сотрудников и данных, где бы они ни находились.
Посетите нашу веб-страницу «Признание в отрасли и технологическая проверка», чтобы узнать, что отраслевые аналитики говорят о CrowdStrike и платформе Falcon.
Получите полнофункциональную бесплатную пробную версию CrowdStrike Falcon Prevent™ и убедитесь сами, как работает настоящее антивирусное решение нового поколения против самых сложных современных угроз.