Na semana passada, soube-se que um adversário sofisticado penetrou na rede da FireEye e roubou as ferramentas de avaliação da «Red Team» da empresa. O ataque está alegadamente ligado a um ataque mais vasto ataque à cadeia de abastecimento que atingiu organizações governamentais, de consultoria, tecnológicas e de telecomunicações em toda a América do Norte, Europa, Ásia e Médio Oriente.
Para ter uma ideia do que este conjunto de ferramentas roubadas é capaz de fazer, pode consultar alista prioritária de CVEs que a FireEye recomenda que as organizações resolvam imediatamente-em essência, a lista de vulnerabilidades conhecidas das quais a FireEye (e agora qualquer adversário com suas ferramentas) pode facilmente tirar proveito. Com base na lista, tudo, desde Citrix, Terminal Services, Microsoft Exchange, Windows endpoints e Microsoft Outlook, está em risco. Particularmente alarmante, perto do topo da lista de prioridades , é uma vulnerabilidade NETLOGON que resulta numa escalada de privilégios do Microsoft Active Directory, dando ao atacante acesso de administrador de domínio. Se um atacante utilizar esta vulnerabilidade específica, dada a natureza do Active Directory, o privilégio obtido pode facilitar o acesso a qualquer coisa na sua rede.
De acordo com relatos, o adversário comprometeu a FireEye, entre outros alvos, como o Tesouro dos EUA e o Departamento do Comércio, com «atualizações trojanizadas» para a SolarWinds, um fornecedor de tecnologia que ajuda o governo federal e empresas da Fortune 500 a monitorizar o estado das suas redes de TI. As atualizações distribuíram malware que a FireEye apelidou de SUNBURST. Este mais recente ataque à cadeia de abastecimento abalou a comunidade de TI, e com razão, tendo em conta a vasta base de clientes da SolarWinds. Em documentos apresentados à SEC a 14 de dezembro, a SolarWinds afirmou que 18 000 clientes instalaram a atualização contaminada com malware. A história ainda está a desenrolar-se e a extensão dos danos continua a ser desconhecida.
Numa entrevista àentrevista à Al Jazeeranessa mesma manhã, Richard Stiennon, analista-chefe de investigação da IT-Harvest, comparou o ataque à cadeia de abastecimento ao NotPetya, que se propagou de forma semelhante, disfarçando-se de uma actualização de software legítima.O NotPetya é facilmente o ciberataque mais destrutivo até à data, causando10 mil milhões de dólares em danos totaisem 2017, de acordo com funcionários da Casa Branca. Tal como muitas empresas de renome afectadas pelo NotPetya, a maior empresa de transportes marítimos do mundo, a Maersk,passou mais de uma semanaa recuperar manualmente o seu Active Directory.
O Active Directory está na mira dos atacantes
Em primeiro lugar, o sector concorda que a FireEye respondeu muito bem ao incidente, sendo extremamente transparente em relação às ferramentas roubadas daferramentas da Equipa Vermelhaque contêm scripts personalizados, algumas ferramentas de pirataria informática disponíveis ao público e alguns conjuntos de ferramentas desenvolvidos à medida.
De acordo com a FireEye, não existem vulnerabilidades «zero-day» nas ferramentas, pelo que todas as CVE mencionadas têm correções disponíveis. No entanto, isso não garante que todos os sistemas, aplicações e plataformas afetados pela lista estejam atualizados. Tome nota da lista e certifique-se de que o seu ambiente está atualizado.
Há algumas lições a aprender proactivamente com esta história:
1. Os ciberataques exploram cada vez mais os pontos fracos da cadeia de abastecimento como um método eficaz de distribuição de malware para um impacto generalizado.
2. Os maus da fita estão a olhar para além das campanhas de violação do tipo "pulverizar e rezar" e começam a ser extremamente direccionados, atacando os bons da fita e tirando partido de qualquer propriedade intelectual (neste caso, ferramentas internas de pirataria informática) para obter vantagem.
3. Se uma organização como a FireEye, que se dedica exclusivamente à cibersegurança, não está totalmente a salvo de ataques, a sua organização também não está.
4. Conjuntos de ferramentas automatizadas sofisticadas podem chegar facilmente às mãos de um atacante principiante, tornando-o um adversário tão perigoso como alguém com anos de experiência em equipas vermelhas.
5. O Windows e o Active Directory são os principais alvos dos ciberataques actuais. A natureza centralizada do acesso disponibilizado às contas de utilizador com privilégios elevados faz do Active Directory o foco perfeito de ciberataque. Por conseguinte, as organizações devem manter-se atentas às alterações efectuadas ao Active Directory, implementando mesmo medidas para monitorizar continuamente os indicadores de exposição, evitar alterações que elevem ainda mais o acesso a outras partes do seu ambiente e estar preparadas para recuperar de ransomware e outros ataques à integridade dos dados.
Embora o ataque à FireEye não implique o lançamento de ferramentas ou exploits inéditos, destaca a importância de manter o seu ambiente atualizado com os patches contra vulnerabilidades conhecidas, bem como o papel fundamental que o Active Directory desempenha nos ciberataques atuais. Enquanto guardião de aplicações e dados críticos, o Active Directory tornou-se um alvo privilegiado de ataques generalizados que têm paralisado empresas nos últimos anos. Ao compreender em que é que os cibercriminosos se estão a concentrar, deve procurar ajustar a sua estratégia de segurança para reforçar a sua postura defensiva em torno das partes do ambiente que são valiosas para os atacantes.
Dada a escala do ataque à cadeia de suprimentos da SolarWinds e as violações subsequentes de agências governamentais e empresas de alto perfil, provavelmente veremos mais vítimas fazendo revelações nos próximos dias.Se tiver alguma dúvida sobre como proteger o seu Active Directory contra a lista de vulnerabilidades publicada pela FireEye ou quaisquer ataques em curso, não hesite emcontactaro pessoal da Semperis.
