Адресные кибератаки

Адресные атаки, в отличие от червей и вирусов, инфицирующих широкий круг систем, требуют тщательного планирования с выбором конкретной мишени или группы мишеней, причем, рассчитывая попасть в конкретную цель, злоумышленник готов потратить на это дополнительные усилия. Такой вид атак существовал всегда, но сегодня их частота растет, поскольку мир становится все более сетевым, а ценность онлайн-мишеней растет.

Для адресных атак специалисты по безопасности употребляют термин целенаправленная устойчивая угроза (Advanced Persistent Threat, APT). Атаки такого рода не обязательно более изощренны по сравнению с остальными, за исключением тех случаев, когда особо ценная мишень требует технологий проникновения повышенной сложности. Усточивость, или постоянство, — характерная черта адресных атак, поскольку, даже встретив противодействие, они продолжают воздействовать на цель, а не переключаются на более доступные мишени. Иногда говорят о целенаправленных «терпеливых» (patient) атаках, поскольку атакующим приходится проявлять недюжинное терпение.

Ряд инцидентов последних лет иллюстрирует опасность адресных атак.

• В 2009 году была обнаружена целенаправленная атака GhostNet с управляющими центрами в Китае, ориентированная на более чем сотню стран. Вторжения происходили с помощью сообщения электронной почты, привлекающего внимание использованием знакомой получателю информации, а при открытии сообщения запускалась вредоносная программа из прикрепленного файла. После установки вирус загружал хакерский инструментарий Ghost Remote Administration Toolkit для дистанционного управления системами. Управляющий сервер в Китае затем мог отправлять вирусу команды на передачу информации с компьютеров жертв.
• В 2009 году началась операция «Аврора», исходившая, по слухам, тоже из Китая и направленная на кражу интеллектуальной собственности и закрытой информации у большого числа высокотехнологичных компаний, национальных ведомств обеспечения безопасности и обороны. Атакующие использовали уязвимость класса use-after-free в Internet Explorer, приводившую к порче памяти объектов HTML. Такая брешь позволяет атакующему внедрить код в область памяти, высвобождаемую объектом при его удалении. Для этого сразу после удаления объекта посторонний код создает новый на его месте. Атака осуществлялась методом попутной загрузки ( drive-by download — автоматическая загрузка, происходящая без ведома пользователя), в результате которой пользовательская машина заражалась вирусом.
• В 2010 году хакеры атаковали компанию IP Telecom, крупнейшего провайдера широкополосного Интернета в Китае, пользуясь несовершенством протокола Border Gateway Protocol. Взломщики отправляли нестандартный трафик, вызвав обновление таблиц в ряде машрутизаторов Сети по всему миру. Эта адресная атака имела побочный эффект: она затронула более широкие сегменты Интернета помимо провайдера, который был ее мишенью.
• В том же году была устроена адресная атака Stuxnet, инициаторами которой называют спецслужбы США и Израиля, направленная на программируемые логические контроллеры Siemens в сетях АСУТП с целью вывода из строя центрифуг, применяемых для переработки ядерных материалов. В Stuxnet использовались четыре уязвимости нулевого дня, в том числе в диспетчере печати Windows, в формате файлов LNK, в ядре сервера SMB и в планировщике задач. Недавно был обнаружен вариант Stuxnet под названием Duqu.

Многие из таких атак относят к классу APT, и их частота увеличивается.

Модель адресной атаки

Адресную атаку можно разделить на три стадии.

Сбор разведывательных данных

Адресная атака начинается с разведки — сбора максимального объема информации с целью выстраивания различных векторов атак против мишени. Сбор обычно начинают из общедоступных ресурсов Интернета и других открытых источников. Полученная информация, например данные о служащих организации, не всегда точна, но полезна атакующим. Некоторые сведения из открытых источников могут со временем меняться, поэтому атакующим важно их регулярно перепроверять до завершения атаки. Настойчивость и терпение — важный элемент адресной атаки, ведь сбор информации может занимать долгое время.

Для составления досье на мишень используются различные схемы сбора информации: пассивная, квазипассивная и активная. В пассивном режиме не происходит взаимодействия (обмена трафиком) с мишенью — например, атакующие собирают данные из публичных или иных источников в Интернете. В квазипассивном режиме применяются методы сбора информации, которые генерируют стандартный, не вызывающий подозрений трафик, — например, запросы DNS или WHOIS. При аккуратном проведении такой сбор данных не должен привлечь внимания жертвы. В активном режиме атакующие взаимодействуют с мишенью, пытаясь обнаружить ресурсы вроде открытых портов или исполняемых сервисов, чтобы построить карту целевой сети.

Составление досье на жертву включает:

• опрос общедоступных сервисов наподобие WHOIS и Looking Glass для получения сведений о доменах и маршрутизации;
• поиск в целевой сети сайтов, уязвимых для межсайтового скриптинга, SQL-инъекций и других распространенных способов вторжения;
• сканирование сети организации для идентификации открытых портов, диапазонов адресов, активных систем, межсетевых экранов, систем распознавания и предотвращения вторжений, исполняемого ПО, точек доступа, виртуальных хостов, устаревших систем, виртуализированных платформ, инфраструктуры хранения и т. д. в целях расшифровки топологии сети.

Поскольку в ходе целенаправленной атаки часто используется социальная инженерия, большую ценность для атакующих представляет информация о конкретных участниках атакуемой организации. Важную роль в сборе таких данных играют непосредственные контакты со служащими, поставщиками и т. д. Ценные сведения также можно собрать в социальных сетях вроде Facebook и Twitter, телефонных каталогах, на личных сайтах и веб-страницах организации.

Главные задачи такого профилирования — извлечение ценных данных из больших объемов собранной информации и составление персональных или групповых досье. Время, затраченное на разведку и профилирование, может определить успех или провал атаки.

Моделирование угрозы

После сбора информации о мишени атакующие переходят к построению модели угрозы. Они анализируют собранные данные, чтобы составить досье на мишень и ее окружение, причем иногда даже конструируют копию целевой системы для проверки на ней разных методов скрытого проникновения. Моделирование угрозы включает в себя:

• выстраивание карты среды (выявление зависимостей между ее объектами для обнаружения возможных способов проникновения) и сортировку активов по их важности и ценности на главные и второстепенные;
• оценку рисков и угроз, чтобы выяснить, в каких доменах атака с наибольшей вероятностью будет обнаружена, а какие могут оказать сопротивление.

Моделирование угроз позволяет получить важную информацию о слабых звеньях сети и персонала организации. Данный этап критически важен для успеха адресных атак.

Атака и извлечение выгоды

Название финального этапа говорит само за себя: злоумышленники устраивают собственно атаку, пользуясь собранной информацией и составленным досье. Общая задача здесь — загрузить на целевой компьютер вредоносную программу и использовать ее для извлечения информации. Адресные атаки могут значительно различаться по принципам осуществления, но имеют ряд общих закономерностей.

Адресная атака. Фишинговое сообщение содержит эксплойт во вложенных файлах (DOC, PDF, XLS и т. п.). Подобным образом, например, была скомпрометирована сеть компании RSA

Попутные загрузки и целенаправленный фишинг. Атакующие устанавливают вредоносную программу на компьютер мишени методом попутной загрузки. С этой целью пользователя завлекают на скомпрометированный сайт со скрытым элементом Iframe, перенаправляющим браузер на другой домен. Там содержится пакет эксплойтов, которые с использованием уязвимостей в браузерах и плагинах загружают вредоносные программы на систему жертвы. Основной способ завлечения пользователя на сайт попутной загрузки — это адресный фишинг: присутствие в сообщении электронной почты личных сведений или информации из офиса жертвы, убеждающих пользователя зайти на скомпрометированный сайт, обычно через внедренную ссылку. В атаках адресного фишинга может применяться обфускация (запутывание кода), помогающая вредоносу обходить автоматизированные средства защиты. Удобный для злоумышленников механизм анонимного фишинга предоставляют ботнеты, особенно когда мишенью является группа пользователей. Анонимность, обеспечиваемая ботнетами, может использоваться и для атак против индивидуальных лиц. На рисунке показана общая стратегия проведения целенаправленных атак, опирающихся на адресный фишинг и попутные загрузки.

Сам процесс состоит в следующем. Атакующие начинают со сбора адресов электронной почты, которые могут быть общедоступными, но особо ценные мишени могут иметь приватные адреса, более уязвимые для фишинга. Существует немало подпольных онлайн-ресурсов, где такие адреса предлагаются за деньги. Если у атакующего есть время и соответствующие средства, он может извлечь из «сырых» баз адресов полезные для себя. Адреса для целенаправленного фишинга также могут добываться путем поиска по онлайн-ресурсам. После отбора нужных адресов начинается автоматизированная отправка на них писем с вредоносными вложениями.

Отправка вредоносных вложений — неизменно эффективный вектор атак. В крупных организациях нередко применяют ПО для антивирусной проверки вложений, но файлы форматов PDF, XLS и DOC могут просочиться сквозь защитные системы. Одно из преимуществ использования электронной почты в том, что она обычно проходит сквозь периферийные средства безопасности (межсетевые экраны и системы распознавания вторжений), и, когда пользователь внутри организации открывает такое сообщение, уже пройдены многие линии обороны. Теперь эксплойт атакует уязвимое ПО в конечной системе, и, если это удается, может загрузить дополнительные вредоносные программы с удаленных ресурсов. Идея в том, чтобы пробросить нечто малое и с виду невинное сквозь защитные барьеры, а после этого загрузить более объемный вирусный код.

В ходе адресных атак эксплойты обычно загружают сложный инструментарий удаленного администрирования, предоставляющий атакующему полный контроль над системой. При этом всего один скомпрометированный хост организации может заразить другие машины в локальной сети, поскольку внутренняя защита обычно слабее внешней. Теперь атакующий внутри крепости.

Именно такая атака недавно была проведен против компании RSA: атакующие отправили XLS-файл с внедренным эксплойтом, который использовал уязвимость нулевого дня в Adobe Flash, позднее устраненную в обновлении CVE-2011-0609.

Использование брешей в инфраструктуре Web. Адресные атаки часто совершаются с использованием незащищенности веб-приложений. Для проведения массовых атак широко применяются два метода: межсайтовый скриптинг и SQL-инъекции — при этом используется какая-либо распространенная брешь. SQL-инъекции позволяют извлекать информацию о базах данных организации и использовать ее для дальнейших атак. Иногда два метода совмещаются, чтобы заносить вредоносные элементы Iframe в базы данных уязвимых сайтов. Когда пользователь посещает такой сайт, из базы извлекается контент и перенаправляется на сторонний домен с вредоносными программами. С помощью SQL-инъекции можно также получить пароль к домену, после чего вредоносы можно устанавливать в него напрямую. Недавний пример — атака Lizamoon, в которой мишенями злоумышленников были Windows-серверы с платформой ASP.NET. Атака проводилась с использованием поисковых систем и SQL-инъекций, внедряющих в сайты вредоносный код (элементы Iframe, направляющие на вредоносные ресурсы). Посетители зараженных сайтов «подхватывали» вирусы. В результате атаки инфицированными оказались такие сайты, как Goal.com, MySQL.com и DoubleClick.net.

Злоупотребление коммуникационными протоколами. При совершении атаки взломщики пытаются злоупотреблять различными коммуникационными протоколами Интернета. Они могут компрометировать SMTP-серверы, сконфигурированные в качестве открытых ретрансляторов, распространяя с их помощью сообщения адресного фишинга. Незащищенные FTP- и HTTP-серверы можно задействовать как репозитории для хостинга вредоносных программ. Манипуляции с записями DNS позволяют перенаправить легитимный трафик на вредоносный сайт. Находящийся в системе вирус может менять адреса в файле hosts или с помощью инъекции DLL переадресовать браузер на домены злоумышленников. Атакующие могут выполнять атаки отравления кэша DNS, когда кэш сервера заполняется фальшивыми вхождениями DNS, вызывающими перенаправление браузера пользователя. Некоторые из этих операций могут охватить не только главную цель атаки, но и гораздо более широкий круг пользователей, в результате чего повышается вероятность ее распознавания.

Использование социальных сетей. Социальные сети — щедрый источник персональной информации и возможностей для социальной инженерии. Устроители адресных атак с помощью социальных сетей пользуются в своих интересах доверием между друзьями — ссылка, рекомендованная «другом», будет открыта с большей вероятностью. Широкомасштабные атаки на социальные сети могут принести злоумышленникам сведения, помогающие в организации адресных атак.

Использование совместно размещаемых сервисов. В одном и том же домене может работать много разных сервисов, и с ростом их плотности растет частота их использования в адресных атаках. Виртуальный хостинг выгоден с точки зрения бизнеса, но скомпрометировав на нем даже один уязвимый сайт, атакующий может захватить полный контроль над сервером хостинга, получив возможность размещать вирусы сразу на множестве ресурсов. Для компрометации серверов виртуального хостинга применяются два подхода. Первый — взлом уязвимого сайта и установка оболочки дистанционного администрирования (например, C-99, с помощью которой можно захватить уже весь хост). Второй вариант — создание скриптов для инъекции вредоносных элементов Iframe, которые инфицируют все хосты на сервере.

Еще одна «платформа» хостинга вредоносных программ — облако. Инфицированные виртуальные машины потенциально могут заразить тысячи остальных. В компании IsecLab провели анализ защищенности облака Amazon Web Services и показали, что бреши в нем дают возможность такой массовой компрометации.

Атаки можно совершать также с использованием мошеннических зон доступа Wi-Fi и открытых либо слабозащищенных беспроводных сетей. Их уязвимости позволяют собирать информацию или размещать вредоносные программы для попутных загрузок. Например, с помощью имеющихся в Windows 7 средств организации виртуальной точки доступа можно организовать мошенническую зону доступа к Wi-Fi — несанкционированную сеть, способную осуществлять посторонние коммуникации без ведома администратора. Обычно такие программные точки доступа скрыты с помощью технологии Windows Port Address Translation, позволяющей нескольким сетям использовать один и тот же IP-адрес. Соответственно, есть возможность незаметно инфицировать системы с применением одноранговых протоколов.

Есть также возможность собирать информацию или провоцировать установку вредоносных программ с помощью технологии Bluetooth — первый Bluetooth-вирус Cabir появился в 2004 году.

Для распространения вирусов могут также использоваться SMS и онлайн-чаты. Как и в случае с социальными сетями, пользователей обманом заставляют щелкнуть по ссылке, злоупотребляя их доверием к друзьям и коллегам.

Физические атаки. Еще один проводник атак — аппаратное обеспечение. USB-накопители повсеместны, и их нередко передают друг другу. Вирус с флэшки будет перенесен на каждый компьютер, в который ее установят, — этот метод эффективен для заражения машин, не подключенных к Сети. Аналогичную роль могут выполнять и другие носители: оптические диски, карты памяти и т. д. Недавно исследователи описали процесс взлома компьютеров и смартфонов, оснащенных портами USB. Крохотное устройство, работая по интерфейсу USB-HID, может эмулировать клавиатуру или мышь, перехватывать нажатия на клавиши и исполнять вредоносный код. А с помощью устройств, осуществляющих тестирование на защищенность для проникновений, — pineapple Wi-Fi и Pwn Plug — можно взламывать беспроводные сети.

Недавно проводилось исследование, касавшееся систем с заранее предусмотренными «черными входами», через которые злоумышленники могут устанавливать вредоносы. Средства безопасности для подобных систем бесполезны, так как дыра уже является элементом системы, имеет доступ к ядру и может использовать механизм прямого доступа к памяти.

Инструменты адресных атак

Для осуществления адресных атак широко используется ряд хакерских инструментов.

Распределенные вредоносные системы

Распределенные вредоносные системы (Malware Infection Frameworks, MIF) широко применяются для распространения вирусов. Применимы они и для адресных атак, направленных на получение дистанционного контроля над системами. С течением времени MIF эволюционировали. В первом поколении обычно использовались каналы IRC, во втором — p2p-протоколы, а нынешнее третье для связи с управляющими серверами полагается на обычный HTTP. Существуют гибридные MIF, в которых одновременно используются ботнеты разных поколений. В MIF-атаках управляющий сервер отправляет на инфицированные машины команды, заставляющие их действовать в интересах злоумышленников.

С помощью ботнетов SpyEye и Zeus устраивались адресные атаки на онлайн-банки. Для SpyEye даже есть специальный плагин, атакующий сайты Bank of America.

Пакеты эксплойтов и анонимизаторы

Существуют пакеты, скомпонованные из множества эксплойтов для браузеров, такие как BlackHole и Phoenix. С каждым запросом к серверу браузеры отправляют в HTTP-заголовке агента (user-agent) идентификационную информацию. По ней атакующий может определить операционную систему, версию браузера, установленные плагины и многое другое. Руководствуясь этими данными, пакет автоматически запускает соответствующий эксплойт. Атакующий может путем взлома установить пакет эксплойтов на сайте, куда часто заходит потенциальная жертва, либо фишингом заманить на вредоносный домен. Распространять вредоносные программы помогают недоработки в браузерах, допускающие подделку или маскировку URL. При попутных загрузках именно пакеты эксплойтов передают вирусы на машину жертвы.

Для анонимизации серфинга по Интернету широко применяются прокси-сервисы на основе скрипта Glype. Атакующие используют их для анонимного сбора и поиска информации о потенциальных мишенях адресных атак.

Инструментарии удаленного доступа и руткиты

Руткитам и инструментариям удаленного доступа/администрирования, таким как Poison Ivy, в адресных атаках отводится важнейшая роль после того, как инфицирована целевая машина. В ходе атаки GhostNet злоумышленники устанавливали на зараженные машины разработанный ими инструментарий Ghost. Руткиты — это «скрытые инфекции», вредоносные системные процессы, замаскированные от пользователя и антивирусов. После установки руткита он загружает инструментарий удаленного администрирования для связи с управляющими серверами. В недавних адресных атаках использовались, например, сложнейшие руткиты ZeroAccess и TDL, способные перехватывать критически важные функции процессов, управляющих внутрисистемными коммуникациями.

Средства видоизменения и запутывания кода

Чтобы избежать распознавания антивирусами, код вредоносов обычно видоизменяют или запутывают. Видоизменение (морфинг) обычно применяется к коду HTML, JavaScript, Flash, двоичным исполняемым файлам и динамическим библиотекам, а также к элементам Iframe, распространяющим вредоносы. Существует несколько типов средств морфинга и запутывания:

• паковщики сжимают вредоносные программы, уменьшая размер исполняемого файла и скрывая его истинный код;
• средства шифрования кодируют вредоносную программу для обхода механизмов защиты, основанных на сигнатурах;
• средства защиты кода позволяют внедрить во вредоносную программу код, мешающий исполнению в виртуальных машинах и отладчиках, чтобы ее нельзя было проанализировать в контролируемой среде, тем самым дополнительно затрудняя распознавание;
• пакетизаторы маскируют вредоносную программу под легитимное ПО; с помощью инструментов такого рода можно создавать комплекты из многих вредоносных программ.

Перечисленные инструменты, широко применяемые для затруднения распознавания вредоносов, распространяются как легально, так и на подпольном рынке.

Подпольный рынок

Существует подпольный рынок вредоносных программ и персональных данных, используемых для совершения адресных атак. Подпольный рынок служит хакерам всего мира, на нем непрестанно происходит обмен вредоносными инструментами, реализующими сложнейшие технологии.

Информация о пользователях, включая номера банковских карт, личные сведения и пароли к аккаунтам, доступна по дешевке — эти сведения обычно извлекаются с помощью ботнетов. Доступны также услуги заражения — доступ к скомпрометированным доменам продается за несколько долларов, так что атакующие могут пользоваться ими, не тратя времени на самостоятельный поиск. В таких доменах атакующие могут разместить свои пакеты эксплойтов. Предлагаются услуги запутывания кода, помогающие вредоносным программам просачиваться сквозь хостовые и сетевые механизмы защиты. Если цель атаки состоит в получение денег, то атакующие могут нанять «мулов» для обналичивания онлайн-финансов.

На подпольном рынке также можно купить MIF, пакеты эксплойтов, руткиты и эксплойты нулевого дня, причем самые сложные из них могут быть весьма дороги.

Профилактика и предотвращение

Распознать адресную атаку может быть сложно, и помочь способна мощная система мониторинга трафика и анализа сети, обеспечивающая защиту периметра, но этого недостаточно. Полезным бывает также поведенческий анализ. Средства системной защиты тоже должны распознавать вредоносный трафик командных серверов путем анализа записей DNS, с применением репутационных сервисов, черных списков и IP-геолокации. В случае распознавания вредоносной активности защитная система должна оповестить ИТ-администраторов и заблокировать трафик. Традиционные средства распознавания и предотвращения вторжений полезны, но недостаточны, так как в адресных атаках используются самые новые методы и эксплойты, которые легко обходят защитные решения для сетевого периметра.

Система мониторинга также должна анализировать вложенные файлы в формате PDF, DOC и XLS, выполняя глубокую проверку пакетов для поиска эксплойтов. Но такая проверка может быть затратной — в идеале любой подозрительный код надо тестировать в виртуальной среде, что обычно нереально. Кроме того, системы мониторинга следует регулярно обновлять и в целях предотвращения утечки данных подстраивать для распознавания аномалий исходящего и входящего трафика.

Для снижения влияния адресных атак возможны профилактические меры:

• Межсетевые экраны, хостовые антивирусы и другие системы безопасности необходимо регулярно обновлять, в частности, нужно регулярно проверять эффективность межсетевых экранов и проводить аудит сайтов.
• Браузер — главное «окно в Интернет», и, как и для любых других программ, для него нужно устанавливать свежие заплаты и обновления. Пользователям по возможности стоит включить механизмы защиты — например, поставить плагин NoScript для Firefox, который фильтрует вредные скрипты и уменьшает уязвимость для атак. На других браузерах, включая IE и Chrome, нужно активировать встроенные фильтры против межсайтового скриптинга.
• Всегда дважды подумайте, прежде чем щелкнуть по ссылке, особенно присланной по электронной почте, в SMS или опубликованной в Twitter. Атакующие с помощью социальной инженерии убеждают пользователей переходить по ссылкам. Необходимо устанавливать свежие обновления для операционной системы и используемых программ и избегать загрузки пиратского ПО, поскольку злоумышленники с его помощью распространяют вирусы.
• Организациям нужна надежная физическая безопасность — допуская посторонних в свои помещения, вы облегчаете задачу атакующим.
• Важную роль играет просвещение пользователей. Следует проводить регулярные собрания, посвященные кибербезопасности, — в частности, мерам безопасного пользования Интернетом. Пользователи не должны передавать в сообщениях электронной почты персональные данные, включая PIN-коды и номера кредитных карт. Необходимо научиться отличать легитимные сообщения от фишинговых и пользоваться сильными паролями с достаточным уровнем сложности. Использование персональных USB-устройств стоит ограничить, а по отношению к оборудованию необходимо установить строгую политику безопасности.

Эти меры не обеспечат полной защиты от адресных атак, но серьезно уменьшат угрозу. Выстроить сильную оборону поможет система противодействия, включающая в себя архитектурные и аналитические компоненты, которые благодаря полиморфности позволят выжить в условиях постоянных атак. Кроме того, необходимы нормативные акты, которые позволят властям отключать некоторые сегменты Интернета в кризисных ситуациях.

***

В некоторых случаях такие атаки, возможно, финансировались правительствами. Но в любом случае международное законодательство пока отстает от технической реальности, из-за чего преследовать нарушителей трудно или невозможно. Понимание принципов осуществления адресных атак — первый шаг к противодействию им.

Адитья Суд (soodadit@cse.msu.edu) — старший исследователь-консультант по безопасности, Ричард Энбоди (enbody@cse.msu.edu) — преподаватель факультета информатики и инженерии Мичиганского университета.