Fejlett piacon fejlettek a fenyegetések is

Európában immár harmadik éve példátlan módon fonódik össze a gépesített haderővel indított, „hagyományos” szárazföldi és légi-, illetve a minden eddiginél komolyabb támadásokat jelentő informatikai hadviselés. Mint Joe Levy, a Sophos vezető informatikusa a cég 2023 fenyegetettségi jelentésében leszögezi: Oroszországot a kiberbűnözés egyik fő támogatójaként és menedékhelyeként, a zsarolóvírust állami támogatású nemzeti iparágként felépítő államként ismerjük. Így nem meglepő, hogy hadrendbe is állították ezeket a tűrt, támogatott vagy irányított csoportokat, mind az ukrán és NATO-tagországokban működő digitális infrastruktúrák elleni, klasszikus támadások végrehajtására, mind dezinformációs vagy éppen zsarolóvírusos akciók elvégzésére.

◼︎ Forrongó időket élünk

Oroszország kiberháborús erőfeszítései egyelőre nem jártak sikerrel. A példa nélküli nemzetközi összefogásnak köszönhetően nem csupán az ukrán államigazgatás és a (megmaradt) gazdasági szereplők álltak ellen a példa nélküli fenyegetettségnek (többek között éppen a felhőszolgáltatások aktív és széles körű igénybevételével), de a kiszivárgott információk szerint számos, orosz célpontokat érintő, támadó informatikai műveletet is sikerült végrehajtani.

Emellett azonban nem szabad elfeledkezni Kínáról sem: mint Joe Levy emlékezteti az olvasókat, az országban dolgozó (és a gyanúk szerint gyakran állami támogatást élvező) csoportok gyakorlatilag folyamatosan támadják minden egyes, a kiberbiztonsági és a hálózatépítési piacon aktív céget és azok termékeit – sokszor bizony sikerrel és nyilvános következmények nélkül.

Kihasználni a lehetőséget

Az Ukrajna elleni orosz támadást példa nélküli szolidaritási hullám követte. Ahol pedig sok pénz mozdul meg, ott sok a lehetőség ezek eltérítésére is – ezt jelezte, hogy ugrásszerűen megnőtt az olyan emailek száma, ahol vagy nem létező jótékonysági szervezetek nevében igyekeztek a csalók pénzt szerezni, vagy éppen a valódi gyűjtések minden szövegét és grafikai elemét felhasználva „csak” az utaláshoz vezető URL-eket változtatták meg. A Sophos adatai szerint 2022. március elején voltak olyan napok, amikor a megfigyelt spam felét az ilyen levelek tették ki, de szerencsére ez a roham hamar lecsengett.

Nem maradtak el a támadások az ukrán kormányzat ellen sem, a kiberbűnözés teljes fegyvertára felvonult, az adathalász levelektől a zsarolóvírusokon keresztül a nem megfelelően frissített védelemmel őrzött adatbázisok feltöréséig és a talált tartalmak online árusításáig. Igaz, a háború egyben azt is jelentette, hogy számos, mindkét országból érkezett tagokkal rendelkező bűnözői csoport is kettészakadt, vagy elveszítette egyik vagy másik nemzetiséghez tartozó tagjait.

Bérelt behatolók

A Sophos elemzése szerint az elmúlt esztendő egyik kiemelt figyelmet érdemlő jelensége a „kibertámadás mint szolgáltatás” üzleti modelljének széles körű elterjedése volt. Nemcsak az IT-vállalkozások váltanak át egyre nagyobb számban a szolgáltatásalapú üzleti modellre, de a modern korral és persze a felhasználói igényekkel lépést tartó bűnözői csoportok is. Ezzel sikerült elérni, hogy minden eddiginél alacsonyabbra került a leendő kiberbűnözők elé támasztott követelményszint: gyakorlatilag szinte minden megoldható a megfelelő személyek vagy csoportok kibérlésével. Ehhez ma már szabályos piacok is léteznek, ahol a kereslet és a kínálat képes találkozni. Természetesen a kinyert információk is értékesíthetők – teljes piaci ökoszisztéma épül ki virtuális szemeink előtt. Ez olyannyira igaz, hogy már a hirdetési felületek is átalakultak: az egyes kiberbetyár-csapatok korábbi, jellemzően egyszerű kinézetű, a hozzájuk hasonló tudásszinttel rendelkező olvasóknak szánt, szakmai tartalmú, szöveges reklámjait gyakran professzionálisan megalkotott, grafikai elemekkel kialakított bannerek váltották fel a már említett piacokon, szakmai fórumokon. Ráadásul, mint minden gazdaságban, itt is szükség van szakemberekre, akiket „normális” álláshirdetésekben keresnek az egyes csoportok.

Kéred vissza az adataidat?

Bár a bűnüldöző szervezetek időnkénti és részleges sikereit, illetve az alaposan felfordult geopolitikai helyzet miatt kisebb, időszakos zavarokat is meg lehetett figyelni a zsarolóvírusokkal dolgozó csoportok világában, de új, feltörekvő csapatok jelentek meg és persze a régiek is igyekeztek zárni virtuális soraikat. Az új érkezők új célokat és technikákat is jelentettek: nehezebben észlelhető, több platformon és operációs rendszeren futó alkalmazások bukkantak fel, új programnyelveken megírva. Igaz, 2022-ben még a jól ismert LockBit volt a piacvezető megoldás, a BlackCat és a Phobos előtt – sőt, a LockBit Linux-ESXi-re írt változatát is azonosították az év elején.

Szintén a 2022-es év újdonsága lett az eltulajdonított adatok értékesítésének kiterjesztése, különböző új fizetési modellek alkalmazásával. A klasszikus eset mellé (amikor a sikeresen megtámadott és digitálisan kifosztott cégtől, szervezettől pénzt követelnek az adatok nem közléséért) megérkeztek az olyan megoldások, mint a némi költséggel kitolható határidők bevezetése (azaz „gondolkodási időt” vehet a szerencsétlenül járt áldozat), vagy az árveréses modell, ahol szabályosan licitálni lehet az eltulajdonított adatokra. Sőt, a Sophos észlelt olyan eseteket is, ahol előfizetést lehet vásárolni ahhoz, hogy a felhasználó böngészhessen az illegális kínálatból.

Segítenek a „jólelkű” támadók akkor is, ha valaki nem csupán az ellopott adatait szeretné visszakapni, de fontos számára az is, hogy ne derüljön ki a sikeres behatolás sem. A tapasztalatok szerint van az az összeg, amelyért az elkövetők mélyen hallgatnak, és így az adott cégnek nem kell magyarázkodni a hatóságok, felügyeletek és persze mondjuk a részvényesek és a sajtó munkatársai előtt sem.

Céltámadáshoz célszerszám

A jó munkához jó szerszám szükségeltetik, így a már említett, a piacon meglehetősen erős pozíciókkal rendelkező LockBit saját minőségjavító programot hirdetett, a „rendes” IT-cégek hibavadász megoldásait másolva. A felfedezett hiányosságokért, a továbbfejlesztést szolgáló ötletekért, kívánságokért pénzjutalmat ígérnek a probléma súlyosságától függő összeget felajánlva. Igaz, nem ők az elsők: mint a tanulmány emlékeztet, 2021 novemberében az orosz kötődéséről ismert All World Class csoport már szervezett hasonló hibakereső akciót.

A Sophos tapasztalatai szerint egyre gyakoribb, hogy az információbiztonsági csapatok által használt digitális eszközök a „sötét oldal” kezébe kerülnek. Így például az ellenséges szándékú támadásokat szimuláló Cobalt Strike penetrációs tesztelőeszköz feltört változata egyre kedveltebb eszköz a valódi behatolásoknál. Nem meglepő tehát az sem, hogy ma már álláshirdetésekben is keresnek a csoportok olyan személyeket, akik megfelelően magas szintű kompetenciával rendelkeznek ezen programok használatában – és megfelelő anyagi ösztönzőkért cserében hajlandóak akár oldalt is váltani.

Igény volna rá: a Sophos Rapid Response csapatának adatai szerint 2022 első három negyedévében az általuk kezelt incidensek nem kevesebb, mint 47 százalékában használták a Cobalt Strike-ot, elsősorban zsarolóvírusos támadások végrehajtása vagy előkészítése során. Ez az eszköz kiemelt szerepet kapott olyan, nagy visszhangot kiváltott eseményekben is, mint a 2020-as SolarWind-feltörés vagy éppen a már több esztendeje is zajló orosz–ukrán kiberháború – azaz az állami vagy állami támogatású csoportok is előszeretettel használják saját céljaik elérésére.

Sok esetben egy-egy támadás során már több, egymást kiegészítő vagy akár együttműködésre képes digitális eszközt használnak a támadók, így nehezítve a sikeres védekezést a behatolási kísérletek ellen.

Pörög a villanyóra az illegális bányászattól

A kriptovaluták piaca – bár a terület meglehetősen viharos évet zárhatott 2022 decemberében – vonzó bevételt jelent sokak számára. A (többé-kevésbé) értékes digitális tokenek előállítása azonban meglehetősen drága is tud lenni: megfelelő hardverekkel és csak nagy tételben érdemes bányászni, és számolni kell az egyre borsosabb energiaszámlával is. Ehhez képest jelenthet vonzó alternatívát 2023-ban is a feltört szervereken, hálózatokon végzett „távbányászat”. Az elemzés leszögezi: bár jó esetben ilyenkor a feltört cég vagy szervezet adatbázisai, érzékeny információi érintetlenek maradnak (feltéve, hogy a már megnyitott bejáraton nem érkezik más szándékkal valaki), de a kriptobányászatba bevont infrastruktúra nagyságától függően felpörgetett számítógépek jelentette extra villanyszámla igen komoly tételként jelentkezhet.

A tanulmány igyekszik arra is felhívni a figyelmet, hogy már 2022-ben is egyre inkább előtérbe kerültek a nem Windows operációs rendszereket alkalmazó környezetek elleni támadások. Mint korábban már említették a kutatók, egyre több multiplatformos, több operációs rendszer ellen is bevethető eszközzel dolgoznak a támadók.

A Linux alapú rendszerek már korábban is a kedvelt célpontok közé számítottak: a virtuális szerverek, tárolómegoldások, nagyvállalati rendszerek elleni, a Sophos által észlelt támadások során szintén a kriptovaluták bányászata volt a behatolók elsődleges célja. Ezt követik a túlterheléses (DDoS) támadások, de mint a kutatók is emlékeztetnek: a kihasznált vagy támadott biztonsági hiányosságok, programhibák szinte mindegyikét orvosolták már a Linux folyamatos frissítéseinek köszönhetően – vagyis elsősorban az üzemeltetőkön múlik ezek alkalmazása, így a védelem erősítése. Vannak azonban olyan, már régóta ismert fenyegetések, amelyek nem csupán velünk maradtak, hanem új képességekkel is bővültek a tavalyi év során. Ilyen például a Tsunami backdoor, amely az eddig ismert fenyegetések mellett értő kezekben immár a Jenkins és a WebLogic alkalmazásszerverekre is komoly veszélyt jelenthet.

Nem lélegezhetnek fel a macOS-felhasználók sem: a kutatók szerint egyre több nyílt forráskódú támadóeszköz jelent meg a „sötét” szakmai fórumokon, közösségekben. Növekedett a macOS-alapú számítógépekről „kinyert” adatok mennyisége is – ez ugyan nem azt jelenti, hogy robbanásszerű növekedést mutatna ez a sokáig szinte észrevétlennek bizonyuló részterület, de azt igen, hogy az eszközök száma és a támadók hajlandósága is érezhetően növekszik. Itt továbbra is a kéretlen alkalmazások, pluginok futtatása jelenti a fő fenyegetést, melyek segítségével a felhasználót már a személyes és pénzügyi adataira éhes weblapokra terelik.

Veszélyforrás a tenyerünkben

Mindennapi életünk ma már elképzelhetetlen okostelefonok és más mobileszközök nélkül. Az, hogy az Android platformra meglehetősen nagy számú kártevő érkezik évről évre, nem tekinthető meglepőnek. Az viszont már újdonságnak számít, hogy 2022-ben sikerült azonosítani több, kifinomult pénzügyi csalásokat ipari méretekben űző csoportot is, amelyek hamis appok segítségével igyekeztek megszerezni az androidos eszközöket használó, gyanútlan és/vagy óvatlan felhasználók pénzét.

Itt már web- és appfejlesztők, hamis közösségimédia-profilokat felépítő szakemberek, illetve a megfelelő online tartalmat biztosító segítők szorosan koordinált munkájára van szükség, a különböző közösségi média-platformokat, illetve a társkereső- és randialkalmazásokat is bevetve.

A kutatók szerint már arra is volt példa, hogy az Apple iOS-rendszerén belül is csalók dolgoztak. Nem jelent ma már atombiztos védelmet az Apple Super Signature megoldása sem, de volt példa az appok korai változatának tesztelésére és a felhasználói visszajelzések begyűjtésére alkalmas TestFlight rosszindulatú kihasználására is. A mobileszközökkel kapcsolatos kiberbűnözés összességében a kutatók becslései szerint önmagában több száz millió dolláros piacot jelent.