La scorsa settimana è emersa la notizia che un avversario particolarmente sofisticato è riuscito a penetrare nella rete di FireEye e a sottrarre gli strumenti di valutazione del Red Team dell’azienda. Secondo quanto riferito, l’attacco sarebbe collegato a un più ampio attacco alla catena di approvvigionamento che ha colpito organizzazioni governative, di consulenza, tecnologiche e di telecomunicazioni in tutto il Nord America, l’Europa, l’Asia e il Medio Oriente.
Per avere un'idea di ciò che questo set di strumenti rubati è in grado di fare, si può guardare l'elencoelenco prioritario di CVE che FireEye raccomanda alle organizzazioni di affrontare immediatamente-in sostanza, l'elenco delle vulnerabilità note di cui FireEye (e ora qualsiasi avversario con i suoi strumenti) può facilmente approfittare. In base all'elenco, sono a rischio tutti i sistemi, da Citrix a Terminal Services, da Microsoft Exchange agli endpoint Windows e a Microsoft Outlook. Particolarmente allarmante, in cimaall'elenco delle priorità , è una vulnerabilità di NETLOGON che provoca un'escalation dei privilegi di Microsoft Active Directory, consentendo all'aggressore l'accesso come amministratore di dominio. Se un aggressore dovesse utilizzare questa particolare vulnerabilità, data la natura di Active Directory, i privilegi acquisiti potrebbero facilitare l'accesso a qualsiasi cosa nella rete.
Secondo quanto riportato, l’autore dell’attacco avrebbe compromesso FireEye, oltre ad altri obiettivi quali il Tesoro degli Stati Uniti e il Dipartimento del Commercio, con "aggiornamenti infetti" per SolarWinds, un fornitore di tecnologia che aiuta il governo federale e le aziende Fortune 500 a monitorare lo stato di salute delle loro reti IT. Gli aggiornamenti hanno diffuso un malware che FireEye ha soprannominato SUNBURST. Questo recente attacco alla catena di approvvigionamento ha scosso la comunità IT, e giustamente, considerando l’ampia base clienti di SolarWinds. Nei documenti depositati presso la SEC il 14 dicembre, SolarWinds ha dichiarato che 18.000 clienti avessero installato l’aggiornamento infettato dal malware. La vicenda è ancora in evoluzione e l’entità del danno rimane sconosciuta.
In un'intervista adAl Jazeerala stessa mattina, Richard Stiennon, Chief Research Analyst di IT-Harvest, ha paragonato l'attacco alla catena di approvvigionamento a NotPetya, che si è diffuso in modo simile camuffandosi da aggiornamento software legittimo.NotPetya è senza dubbio il cyberattacco più distruttivo mai avvenuto fino a oggi, con danni complessivi di10 miliardi di dollari di danni totalinel 2017, secondo i funzionari della Casa Bianca. Come molte altre aziende di alto profilo colpite da NotPetya, la più grande compagnia di navigazione del mondo, Maersk,ha trascorso più di una settimanaa recuperare manualmente la propria Active Directory.
Active Directory è nel mirino degli attaccanti
Innanzitutto, il settore concorda sul fatto che FireEye ha risposto molto bene all'incidente, essendo estremamente trasparente riguardo al furto degli strumenti Red Team.strumenti del Red Teamche contengono script personalizzati, alcuni strumenti di hacking disponibili pubblicamente e alcuni set di strumenti sviluppati su misura.
Secondo FireEye, gli strumenti non contengono exploit zero-day, quindi per ogni CVE menzionato sono disponibili delle patch. Tuttavia, ciò non garantisce che tutti i sistemi, le applicazioni e le piattaforme interessati dall'elenco siano aggiornati. Prendete nota dell'elenco e assicuratevi che il vostro ambiente sia aggiornato.
Ci sono alcune lezioni da imparare in modo proattivo da questa storia:
1. I cyberattacchi sfruttano sempre più spesso le debolezze della catena di approvvigionamento come metodo efficace per distribuire le minacce informatiche e ottenere un impatto diffuso.
2. I cattivi stanno andando oltre le campagne di violazione "spray and pray" e iniziano a essere estremamente mirati, attaccando i buoni e sfruttando qualsiasi proprietà intellettuale (in questo caso, gli strumenti di hacking interni) per avere la meglio.
3. Se un’organizzazione come FireEye, che si occupa esclusivamente di sicurezza informatica, non è completamente al riparo dagli attacchi, lo stesso vale per la vostra organizzazione.
4. Sofisticati set di strumenti automatizzati possono facilmente arrivare nelle mani di un attaccante alle prime armi, rendendolo un avversario altrettanto pericoloso di una persona con anni di esperienza nel Red Team.
5. Windows e Active Directory sono obiettivi chiave dei moderni attacchi informatici. La natura centralizzata dell'accesso reso disponibile agli account utente con privilegi elevati rende Active Directory il bersaglio perfetto per i cyberattacchi. Pertanto, le organizzazioni devono tenere sotto controllo le modifiche apportate ad Active Directory, adottando anche misure per monitorare costantemente gli indicatori di esposizione, impedire modifiche che potrebbero elevare ulteriormente l'accesso ad altre parti dell'ambiente ed essere pronte a riprendersi da ransomware e altri attacchi all'integrità dei dati.
Sebbene l’attacco a FireEye non comporti il rilascio di strumenti o exploit mai visti prima, mette comunque in evidenza l’importanza di mantenere aggiornato il proprio ambiente con le patch contro le vulnerabilità note, nonché il ruolo fondamentale che Active Directory riveste negli attacchi informatici odierni. In qualità di guardiano delle applicazioni e dei dati critici, Active Directory è diventato un bersaglio privilegiato per attacchi su larga scala che negli ultimi anni hanno paralizzato le aziende. Comprendendo su cosa si concentrano i malintenzionati, dovreste cercare di modificare la vostra strategia di sicurezza per rafforzare la vostra difesa attorno a quelle parti dell’ambiente che sono preziose per gli aggressori.
Data l'entità dell'attacco alla catena di approvvigionamento di SolarWinds e le successive violazioni di agenzie governative e aziende di alto profilo, è probabile che nei giorni a venire altre vittime facciano dichiarazioni.Se avete domande sulla protezione di Active Directory contro l'elenco di vulnerabilità pubblicato da FireEye o contro gli attacchi in corso, non esitate acontattarei tecnici di Semperis.
