Új e-mail kampány PDF használatával fedezték fel
Az IBM szerint az e-mail biztonságnak kell a legfontosabb prioritást élveznie, mivel még mindig ez az első számú kiindulási támadási vektor az adatvédelmi incidenseknél. Ennek ellenére a kifinomult e-mailes támadások továbbra is hatékonyan szedik áldozataikat, kihasználva az emberi tényezőt, amely az idei évben az összes betörés 82%-ában szerepet játszott. Sajnos az elmúlt hónapban egy újabb, PDF mellékleteket használó rosszindulatú szoftver terjesztési kampányt azonosítottak, amelynek során a hackerek új módot találtak arra, hogy rosszindulatú szoftvereket csempésszenek az áldozatok eszközeire.
Ismételjük meg, hogyan hajtották végre a támadást
Az új kiberbűnözési kampány - amelyet a HP Wolf Security fedezett fel - a bizonytalan felhasználói viselkedést használta ki, hogy a Snake Keylogger-t PDF-fájlok segítségével terjessze a sebezhető végpontokra.
A fenyegető szereplők először egy "Remittance Invoice" (Átutalási számla) tárgyú e-mailt küldtek, hogy az áldozatokkal elhitessék, hogy valamiért fizetést kapnak. A PDF megnyitásakor az Adobe Reader egy beágyazott dokumentum - egy DOCX fájl - megnyitására szólította fel a felhasználót, ami gyanús lehet, de az áldozat számára meglehetősen zavaró, mivel a beágyazott dokumentum neve "ellenőrizve lett". Ez arra engedi következtetni az áldozatot, hogy a PDF-olvasó beolvasta a fájlt, és az készen áll a használatra.
A Word fájl valószínűleg tartalmaz egy makrót, amely, ha engedélyezi, letölti a gazdag szöveges fájlt (RTF) a távoli helyről, és lefuttatja azt. A fájl ezután megpróbálja letölteni a Snake Keylogger malware-t.
Ahhoz, hogy a támadás sikeres legyen, a célzott végpontoknak továbbra is sebezhetőnek kell lenniük egy adott hibával szemben. Ezúttal azonban a támadók nem küldték el a rosszindulatú kódot, hanem rávették az áldozatot annak letöltésére, megkerülve az észlelésen alapuló átjáróvédelmet.
A kiberbiztonsági közösség úgy véli, hogy a biztonsági rések nagy része elkerülhető lett volna. A jelenlegi hibát például 2017-ben azonosították, és a mostani támadássorozat megelőzhető lett volna, ha minden eszközkezelő naprakészen tartja operációs rendszerét.
A Verizon DBIR szerint a vállalati információkhoz négy fő útvonal vezet: a hitelesítő adatok, az adathalászat, a sebezhetőségek kihasználása és a botnetek. Ha csak az egyik elemet sem sikerül blokkolni, az hálózati behatoláshoz vezethet. Ebben az esetben a támadók két elemet használtak a támadáshoz: egy jól koreografált e-mailes adathalász átverést a gyanútlan felhasználók megtévesztésére és egy sebezhetőség kihasználását rosszindulatú fájlok telepítésére.
Gyakran alkalmazott védelmi intézkedések
Mivel az új kiberbűnözési kampány e-mailben, PDF-fájlokon keresztül terjesztette a Snake Keylogger-t a sebezhető végpontokra, a legjobb biztonsági gyakorlatok a következő okok miatt nem működtek volna megfelelően:
- A sebezhetőségek kihasználása napokon belül kiderül, de a szervezetek számára hetekbe - vagy hónapokba - telik a javítás.
- A hagyományos e-mail-biztonsági megoldások nehezen tudják megakadályozni zero-day , mivel még nincsenek olyan víruskereső szignatúrák, amelyek felismernék őket.
- Sandbox megoldások a fejlett fenyegetés-felismerés egyik módszereként jelentek meg, de az e-mailek esetében nem igazán alkalmasak, mivel a kézbesítés előtt további feldolgozási időt igényelnek
- A termelékenységre gyakorolt negatív hatásokon túlmenően bizonyos e-mail-biztonsági fenyegetések képesek kijátszani sandbox . Ebben az esetben a következő két módszert alkalmazták:
- Művelet-késleltetett végrehajtás
- Trójaiak és makrók
Ha a hackerek biztosra akarnak menni, hogy a kártevő programjuk ne futjon le sandbox , akkor egy másik gyakori módszer az, hogy megvárják a végfelhasználó beavatkozását. Ez lehet egérkattintás, billentyűleütés vagy egy adott alkalmazás megnyitása – a lehetőségek gyakorlatilag korlátlanok. A támadó szempontjából az a fontos, hogy sandbox nem tudnak számításba venni ezeket a műveleteket. Ilyen felhasználói beavatkozás nélkül sandbox nem képesek felismerni ezeket a támadásokat.
A trójai fájlok szinte olyan régiek, mint az ókori Görögország, így a vírusirtó és sandboxing érdeme, hogy a trójai fájlok jó néhány típusát képesek felismerni. Az észlelésen alapuló megoldások azonban általában kudarcot vallanak, ha a kártevő makrókat támogató Microsoft Office-dokumentumokban rejtőzik. A makróalapú támadások egyetlen hátránya a támadók szempontjából az, hogy a végfelhasználónak engedélyeznie kell őket, ezért gyakran társulnak hozzájuk szociális mérnöki támadások.
A Zero-Trust
A szervezeteknek abból kell kiindulniuk, hogy minden e-mail és melléklet rosszindulatú. A szokásos irodai fájlok, például a Word-dokumentumok vagy a PDF-ek is fertőzöttek lehetnek kártevő programokkal és zero-day , de nem reális megoldás az e-mailekhez vagy a Word-dokumentumokhoz való hozzáférés blokkolása. sandbox vírusirtó és sandbox képességei korlátozottak a kifinomult támadások felismerése terén. Amint azt a fenti támadás is megmutatta, kizárólag a felismerésen alapuló védelem alkalmazása alapvetően helytelen megközelítés. Ehelyett a szervezeteknek olyan proaktív megoldást alkalmazó, zero-trust megközelítést kellene alkalmazniuk, amely minden fájlt rosszindulatúnak tekint, és valós időben megtisztítja azokat. Az ilyen módon megtisztított mellékleteket azonnal el lehet juttatni a felhasználóhoz, így nem gátolják az üzleti termelékenységet, miközben a háttérben időt biztosítanak további, észlelésen alapuló (vagy dinamikus) elemzésre, amely siker esetén akár az eredeti fájlt is elküldheti a felhasználónak.
MetaDefender Email Security egy ilyen megoldás. Átfogó megközelítést kínál a csatolmányok, e-mail testek és fejlécek hatástalanítására, eltávolítva az összes potenciálisan rosszindulatú tartalmat, és tiszta fájlként rekonstruálva azt. Így ezek a fájlok teljes mértékben használhatóak és biztonságosak, megfelelő védelmet nyújtva a bizonytalan felhasználók számára a fent leírt támadásokkal szemben.
OPSWAT protects organizations from exploits and weaponized content without the need for detection. And it is 30 times faster than sandbox detection too!
Ha többet szeretne megtudni arról, hogyan töltheti ki az e-mail biztonsági réseket, hogy megvédje szervezetét a fejlett fenyegetésektől, töltse le ingyenes fehér könyvünket, a "Legjobb gyakorlatok a Email Security és a kritikus infrastruktúrák védelméhez" címűt, vagy olvasson el több blogot a témában itt.
Contact OPSWAT today and ask us how we can help improve your email security.
