Оппортунистические взломы представляют собой масштабные и часто неизощренные атаки, которые нацелены на любые уязвимые системы независимо от их владельца. Они полагаются на сканирование низковисящих плодов, таких как неправильно сконфигурированные порты или неисправленное ПО, в надежде закрепиться где-нибудь. В отличие от них, стратегические атаки носят преднамеренный и целенаправленный характер. Они часто осуществляются продвинутыми постоянными угрозами (APT) или изощренными киберпреступными группами, стремящимися к долгосрочному доступу, шпионажу, эксфильтрации данных или системным сбоям. На это могут уйти месяцы скрытой разведки, разработки кастомного вредоносного ПО и незаметного выполнения.
Все мы видели переход от случайных оппортунистических атак к высокостратегическим вторжениям в цепочку поставок. Сразу на ум приходит взлом SolarWinds. Я фактически говорил об этом во время мероприятия ISACA в Хьюстоне в ноябре 2021 года.
Эти атаки больше не сводятся лишь к быстрой финансовой выживаемости. Речь идет о глубоком, постоянном доступе, перехвате доверия и нарушении работы целых экосистем.
Эти атаки больше не сводятся лишь к быстрой финансовой выживаемости. Речь идет о глубоком, постоянном доступе, перехвате доверия и нарушении работы целых экосистем.
В нашем гиперсвязанном мире, где компании, вендоры, поставщики управляемых услуг (MSP) и интеграторы составляют основу ИТ-инфраструктуры, компрометация одного поставщика может предоставить злоумышленникам доступ к сотням других.
Примеры стратегических атак на цепочку поставок из реального мира
- SolarWinds (SUNBURST, 2020): Вредоносный код, внедренный в обновления программного обеспечения Orion, предоставил злоумышленникам доступ к сотням нижестоящих клиентов, включая правительственные агентства США.
- Атака на цепочку поставок 3CX (2023): Связанные с Северной Кореей злоумышленники скомпрометировали разработчика программного обеспечения VoIP, используя его в качестве плацдарма для проникновения в цели из сферы криптовалют и аэрокосмической отрасли.
- Kaseya (REvil, 2021): Взлом вендора ПО для удаленного мониторинга и управления (RMM) позволил развернуть программы-вымогатели на тысячах предприятий малого и среднего бизнеса через доверенное программное обеспечение.
Краткий обзор злоумышленников
Несколько государственных APT-группировок и преступных синдикатов сделали атаки на цепочку поставок своей ключевой стратегией. Эти субъекты атакуют не просто системы, они нацеливаются на экосистемы.
Вот некоторые из них:
- APT29 Cozy Bear (Россия): Связана с SolarWinds; известна глубокой разведкой, тактиками LOTL (Living Off the Land) и скрытностью
- Lazarus Group (Северная Корея): Стоит за атакой на 3CX; сочетает в себе шпионаж и финансовые мотивы
- Charming Kitten (Иран): Нацелена на разработчиков ПО и облачные платформы для достижения диссидентов и иностранных субъектов
- REvil / Sodinokibi (связана с Россией): Использовала взлом Kaseya для масштабного и точного распространения программ-вымогателей
- Volt Typhoon (Китай): Сосредоточена на критической инфраструктуре и долгосрочном доступе через цепочки поставок программного обеспечения и телекоммуникаций
Декодирование их modus operandi: взгляд через призму фреймворка MITRE ATT&CK
Злоумышленники часто следуют структурированному многоэтапному подходу, который хорошо отражен в фреймворке MITRE ATT&CK. Вот некоторые из ключевых тактик и техник, часто наблюдаемых при компрометации цепочки поставок программного обеспечения:
В более сложных сценариях злоумышленники вмешиваются в сам процесс сборки программного обеспечения (T1584.002 – Компрометация цепочки поставок программного обеспечения). Реальные примеры включают в себя следующее:
- CCleaner (2017): Злоумышленники модифицировали установщик в своем конвейере разработки
- ASUS ShadowHammer (2018–2019): Вредоносное ПО было внедрено в их доверенную утилиту обновления
- XcodeGhost (2015): Троянизированная версия внедрила вредоносное ПО в тысячи приложений для iOS.
Защита от невидимого проникновения
Атаки на цепочку поставок носят асимметричный характер: компрометация одного доверенного вендора может заразить сотни других.
Вот ключевые уроки для специалистов по защите:
- Нулевое доверие (Zero Trust) не является факультативным: предполагайте факт взлома, даже со стороны собственных поставщиков. Обеспечивайте строгий контроль доступа и непрерывную валидацию.
- Мониторьте свой конвейер CI/CD: Ваш процесс сборки и зависимости могут стать поверхностями атак. Следите за ними так же, как за производственными системами.
- Риск поставщика = киберриск: Выходите за рамки бумажных оценок. Требуйте технических доказательств наличия средств контроля, особенно для стороннего программного обеспечения.
- Поведенческая аналитика важнее обнаружения по сигнатурам: Эти угрозы часто используют подписанное вредоносное ПО или новые методы, поэтому обнаружение аномалий имеет решающее значение.
- Постоянный поиск угроз (Threat Hunting): Постоянно ищите скрытые угрозы на уровне конечных точек, учетных записей и сети, чтобы обнаружить скрытые имплантаты до их активации.
Опережая атаки на цепочку поставок
Атаки на цепочку поставок больше не являются редкостью — это стандартный сценарий для хорошо финансируемых и обеспеченных ресурсами субъектов. Понимание того, как действуют эти злоумышленники, особенно с помощью таких фреймворков, как MITRE ATT&CK, помогает нам создавать более эффективную защиту. По мере того как злоумышленники смещаются вверх по цепочке, защитники должны приближаться к границе доверия, где сходятся отношения, код и обновления.
