Задна врата (backdoor), която не вдига шум, се хваща трудно – и точно това е целта на BPFDoor. Зловредният код за Linux чака специален „магически пакет“, преди да започне да действа. В това интервю за Help Net Security Кристиан Бийк (Christiaan Beek), вицепрезидент на Rapid7 Intelligence, обяснява защо нейните оператори се насочват към пощенски шлюзове и други периферни устройства, които не могат да изпълняват агенти за защита на крайни точки, и защо компрометирана телекомуникационна мрежа може да постави цяла нация под риск. Бийк също така засяга въпроса как директорите по информационна сигурност (CISO) трябва да докладват за „липса на открития“ пред управителния съвет и кои прости проверки в Linux могат да изпълнят екипите още тази седмица.
BPFDoor е задна врата за Linux, проектирана да остава мълчалива, докато не получи специфичен „магически пакет“. За разлика от традиционния зловреден код, тя не се нуждае от постоянно изпращане на сигнали (beaconing) или отваряне на явен слушащ порт, което би привлякло внимание.
Това прави откриването ѝ трудно, тъй като мълчанието е част от нейния дизайн. Липсата на изходящ трафик и сигнали за тревога не означава, че системата е чиста. Тя също така продължава да се променя. След като защитниците се научиха да забелязват един начин за изпращане на тайния сигнал, операторите намериха друг начин да го скрият. В първото проучване от Rapid7 Intelligence – нов единен двигател, който измества защитата от заплахи от реактивна към проактивна – изследователите откриха нови версии, които дори се маскират като регионален софтуер (например корейски продукт срещу спам), за да се слеят със системата.
Телекомуникационните мрежи се намират на кръстопътя между идентичността, мобилността и глобалната свързаност. Компрометирането на това ниво има национални и международни последици.
Защото периферията съчетава излагане в интернет, доверен достъп и лоша видимост.
Компрометиран пощенски шлюз, VPN устройство или защитна стена вече комуникира с интернет, така че злонамереният трафик може да се слее с нормалното поведение. Атакуващите ефективно се крият вътре в инфраструктура, за която вече очакваме да бъде шумна.
По-лошото е, че тези устройства са затворени системи, управлявани от производителя, които обикновено не могат да изпълняват софтуер за откриване и реагиране на крайни точки (EDR) или други агенти. Влизането там осигурява добра позиция за дългосрочен достъп, особено в телекомуникационни среди.
Компрометирането на телекомуникационен доставчик не засяга само самия доставчик; трябва да осъзнаем, че възможностите, които един автор на заплахата би имал след това – вариращи от проследяване на хора до прекъсване на мобилния трафик – биха могли да засегнат цяла нация.
За един CISO това е проблем с собствеността върху риска. Ако дадено устройство може да стои между вашата организация и интернет, но вие не можете независимо да потвърдите какво прави то, тогава практически изнасяте доверието, без да изнасяте отговорността.
Един добър доклад съдържа три части: какво проверихме, какво не можахме да видим и кой отговаря за отстраняването на тази празнина и в какъв срок. Управителните съвети се справят добре с несигурността, когато тя идва с отговорник и краен срок.
Никога не казвайте: „Проверихме и сме чисти.“ Кажете: „Търсихме в системите, където имаме достатъчна видимост, и не открихме доказателства за компрометиране. Това са областите, в които видимостта остава ограничена.“ Това е много по-честно. Зеленото табло за управление не е същото като доказателство. И реално погледнато, това е едно от най- трудните неща за откриване. Това е търсене на игла, която изглежда и мирише на слама в гигантска кола сено.
Първо, това е много целева и сложна атака, използвана срещу определен брой сектори и цели. Запитайте се дали бихте били в списъка с цели на този атакуващ. И второ, вижте скритите техники, които BPFdoor използва, и се уверете, че вашите външни защити са защитени. Тези типове атаки започват с компрометиран акаунт или уязвимост в периферията. Това е мястото, откъдето можете да започнете.
Оттам нататък проверките са по-прости, отколкото хората очакват, и работят на всяка Linux система, до която имате достъп през обвивка (shell) или агент. Търсете процеси, чийто изпълним файл е бил изтрит, които показват суфикс „(deleted)“ под /proc. След това търсете сурови пакетни сокети (raw packet sockets) в системи, които нямат причина да прихващат трафик, и следете за изходящ порт 25 от всичко, което не е пощенска услуга. Накрая проверете за неограничен административен достъп до периферни устройства, така че откраднатите идентификационни данни да не предадат ключовете.
