U oblasti IT-a danas se velika većina kompanija štiti od sajberkriminalaca na različite načine, najčešće primjenom jednog ili više sigurnosnih proizvoda. Međutim, može li se desiti da neki od tih proizvoda napadnu napadači te tako i sam postane opasan i ugrozi zaštićenu mrežu? Nažalost, moramo konstatovati da se to može desiti i historija već pamti nekoliko takvih slučajeva.
Jedan od takvih je slučaj s kraja prošle godine, kada se saznalo da je softver za udaljeno upravljanje radnim stanicama i serverima SolarWinds Orion napadnut te da su napadači iskoristili njegovu mogućnost širenja izvršnog koda i umjesto ažuriranja i zakrpa širili malware. CISA (Cybersecurity & Infrastructure Security Agency) je 13. decembra 2020. izdala direktivu u kojoj upozorava na ovaj sigurnosni rizik i nalaže svim saveznim uredima u Sjedinjenim Američkim Državama hitnu reakciju, uključujući ne samo trenutnu provjeru da li je već došlo do napada, već najčešće i trenutno isključivanje platforme SolarWinds Orion. Spisak napadnutih institucija prilično je impresivan, a na njemu su i vrlo poznata imena poput US Pentagon, NASA, NSA i drugih.
Ovdje bih dozvolio jednu napomenu – malware nazvan Sunburst napao je samo platformu SolarWinds Orion, a ne ostale proizvode iz porodice SolarWinds, kao što su SolarWinds MSP N-Central i RMM. Više detalja možete pronaći na ovom linku: https://www.solarwinds.com/securityadvisory
Kako izgleda takav napad putem sigurnosnog proizvoda? Kompromitacija sistema SolarWinds Orion sastoji se od nekoliko nivoa. Serverski dio platforme Orion redovno se ažurira sa servera za ažuriranje. Upravo su te servere napadači prvo napali i uspjeli su na njih postaviti zlonamjerni kod, čime su ga organizacijama koje ništa nisu sumnjale učinili dostupnim za preuzimanje. Nakon prodora u mrežu žrtava, napadači su izbjegavali detekciju na nekoliko načina; prvi je bio odgađanje bilo kakve aktivnosti, odnosno kod se nije aktivirao odmah, već nakon 2 sedmice. Nadalje, napadači su mogli digitalno potpisati kod i sakriti ga u biblioteci pod nazivom BusinessLayer.dll. I na kraju, ovaj kod koristi nekoliko tehnika za otkrivanje da li se ne pokreće u sandboxu. Obično mu je dovoljno da pokuša „pingovati“ poznate mrežne segmente kako bi provjerio postoje li, kao i vlastitu „bazu“.
Do sada se radilo o klasičnom proboju u mrežu SolarWinds Orion i mreže njegovih kupaca. Međutim, u ovom trenutku moramo shvatiti da se napadač doslovno našao u pravo vrijeme na pravom mjestu. Softver namijenjen upravljanju računarima u mreži, njihovom ažuriranju te instalaciji odnosno deinstalaciji aplikacija nužno mora imati dovoljno visoke ovlasti, na primjer u obliku lokalnog ili domenskog administratora. A naš napadač sada ima ovaj softver u potpunosti na raspolaganju te stoga može na sve uređaje u upravljanoj mreži instalirati bilo koji dodatni kod i, naravno, pokrenuti ga. Time može početi završna faza napada, koja će se razlikovati od žrtve do žrtve; napadač će, prema prikupljenim informacijama, odlučiti po čemu će mu mreža žrtve biti zanimljiva.
Možda sada pomislite da bi u situaciji žrtve bilo dovoljno jednostavno isključiti platformu Orion i opasnost više ne bi postojala. Međutim, to je velika zabluda, jer ako je napadač došao do faze u kojoj je već u potpunosti kontrolisao mrežu, mogao je na bilo koje druge računare instalirati bilo kakav dodatni kod, pa ga čak ni isključivanje platforme za upravljanje neće riješiti opasnosti. Potrebno je djelovati proaktivno i skenirati cijelu mrežu radi prisustva opasnog koda.
Na situaciju s kompromitacijom platforme Orion već su reagovali i drugi proizvođači, pa je, na primjer, kompanija GFI u svoj proizvod GFI LanGuard dodala mogućnost otkrivanja ranjivosti uzrokovanih ovom kompromitacijom. I ne samo to, LanGuard od GFI-ja ima vrlo slične mogućnosti kao SolarWinds Orion, odnosno mogućnost upravljanja zakrpama, mrežnog audita, a uz to dodaje i mogućnost skeniranja ranjivosti na svim uređajima u mreži. Vrlo pozitivan je pristup proizvođača koji pruža funkcionalno neograničenu probnu verziju na 30 dana. Probna verzija je u početnom stanju ograničena na 25 IP adresa, ali se jednostavnim zahtjevom proizvođaču podrška može proširiti na čak 10 hiljada uređaja.
Ovakva velikodušna ponuda sigurno će svim kompanijama pogođenim ranjivošću platforme Orion omogućiti da očiste svoju mrežu i ostanu potpuno zaštićene tokom cijelog perioda.
Članak je objavljen u časopisu IT Systems br. 1-2/2021.
Autor članka: Redakcija ZEBR.ai
