Інформація від працівників, що взаємодіють із клієнтами: аналіз методів і стратегій китайських джерел загроз

Після початку пандемії COVID-19 світ змінився для багатьох із нас. Клієнти – не виняток. Буквально за ніч усі перейшли на роботу з дому й намагалися продовжувати виконувати свої обов’язки. Багатьом компаніям довелося повністю переналаштувати мережі, а працівникам – перебудувати свою роботу. Зловмисники теж почали діяти.

Коли було вперше впроваджено політики роботи з дому, багатьом організаціям довелося надати доступ до певних делікатних систем і ресурсів, які до цього було заборонено використовувати за межами офісів, працівникам із багатьох різних розташувань. Зловмисники намагалися маскуватися під віддалених співробітників і в такий спосіб отримувати доступ до цих ресурсів.

Коли тільки почалася пандемія COVID-19, необхідно було швидко впровадити політики доступу до корпоративних середовищ. Тоді мало хто мав час дослідити й перевірити їх. Через це сьогодні зловмисники намагаються знайти у відповідних політиках уразливості й неправильні конфігурації та використати їх.

Шкідливе програмне забезпечення вже втратило свою актуальність. Тепер зловмисники отримують паролі й маркери, які забезпечують доступ до делікатних систем, так само, як і віддалені працівники.

Не знаю, чи зловмисникам також довелося працювати з дому. Однак у нас є певні аналітичні дані щодо того, як карантин через COVID-19 вплинув на їх діяльність у містах, де вони жили. Життя зловмисників, як і життя всіх нас, змінилися, хоч би де вони здійснювали свою діяльність.

Іноді це проявлялося відсутністю активності на їхніх комп’ютерах. Було дуже цікаво спостерігати за всім цим і отримувати відповідні дані.

Наведу чудовий приклад. Ми відстежуємо діяльність одного кіберугрупування, Nylon Typhoon. У 2021 році корпорація Майкрософт розгорнула операцію проти нього й зруйнувала інфраструктуру, яка використовувалася для враження користувачів із Європи, а також Латинської та Центральної Америки.

Згідно з нашими оцінками, деякі дії жертв, імовірно, були пов’язані з операціями зі збору розвідувальних даних щодо світових партнерів китайської ініціативи "Пояс і шлях" (BRI) з реалізації інфраструктурних проектів. Ми знаємо, що кіберзлочинці, спонсоровані урядом Китаю, ведуть як традиційне, так і економічне шпигунство.

Ми не впевнені в цьому на 100%, оскільки не маємо явних доказів. А зібрати їх не так і просто. Кажу вам як фахівець із 15-річним досвідом. Ми можемо проаналізувати інформацію, розглянути її в контексті й із тим чи іншим рівнем упевненості зробити висновки щодо причини виникнення ситуації.

Одна з найголовніших тенденцій – зміщення акценту з кінцевих точок і шкідливого програмного забезпечення на граничні пристрої й постійні загрози. Граничні пристрої дуже цікаві, оскільки дають зловмисникам змогу досить довго залишатися непоміченими в системах після отримання до них доступу.

Деякі угрупування досить добре вивчили принцип їх роботи й знають, як працюють мікропрограми. Зловмисникам відомо, які вразливості мають пристрої, а також те, що деякі з них не підтримують антивіруси й деталізовану модель входу в систему.

Крім того, кіберзлочинці розуміють, що мережі VPN – це ключ до всього. Організації впроваджують додаткові рівні захисту, зокрема маркери, багатофакторну автентифікацію (БФА) і політики доступу. Зловмисники зі свого боку шукають шляхи, як їх обійти.

Багато кіберзлочинців зрозуміли, що якщо вони можуть досить довго залишатися непоміченими в системах, використовуючи пристрої VPN, то їм не потрібно розгортати зловмисні програми. Вони можуть надавати собі доступ і входити в системи від імені інших користувачів.

Уразивши граничні пристрої, зловмисники можуть робити в мережі все, що їм заманеться.

Одні кіберзлочинці досить активно застосовують Shodan, Fofa й бази даних, які дають змогу сканувати мережі, каталогізувати пристрої та визначати різні рівні виправлень.

Інші самостійно сканують великі ділянки Інтернету (іноді використовуючи готові цільові списки) і в такий спосіб шукають уразливості. Якщо зловмисник знаходить щось, то виконує ще одне сканування, щоб фактично скористатися пристроєм, а потім отримує доступ до мережі.

Різні. Усе залежить від самого зловмисника. Одні діють у масштабах певної країни. Їхня групова ціль – пристрої відповідних користувачів. Інші діють у межах певних функціональних областей, зокрема фінансового, енергетичного або промислового сектора. Зловмисники мають створені за кілька років цільові списки компаній, інформацією про пристрої й програмне забезпечення яких вони володіють. Отже, деякі хакери сканують ці списки й відстежують, чи жертви виправили певні вразливості.

Кіберзлочинці можуть діяти направлено, методично й чітко. Однак вони також іноді зазнають невдач. Пам’ятайте, що вони також люди. Коли вони виконують сканування або захоплюють дані за допомогою стандартних продуктів, іноді їм щастить одразу натрапити на правильний набір інформації, яка дасть змогу ініціювати операцію.

Безперечно. Надійний захист – це більше, ніж просто виправлення вразливостей. Найефективніше рішення звучить просто, однак застосувати його на практиці дуже складно. Організації повинні розуміти принцип роботи пристроїв, які використовуються для роботи в мережі, і перевіряти їх. Вони мають знати, як виглядають периметри мережі. Проте це досить важко робити в гібридних середовищах, де використовуються як хмарні, так і локальні пристрої.

Керування пристроями – завдання не з легких. Однак знання про пристрої, які використовуються в мережі, і рівні їх виправлень, – перший крок, який ви можете зробити на шляху до забезпечення захисту у своїй організації.

Якщо ви знаєте все про свої пристрої, то можете оптимізувати можливості входу й телеметричні дані. Намагайтеся забезпечувати деталізацію в журналах. Мережеві пристрої важко захистити. Найкраще, що можуть зробити відповідні фахівці, – увійти в систему й знайти аномалії.

Я б дуже хотіла мати магічну кулю, за допомогою якої могла б передбачити плани уряду Китаю. На жаль, у мене її немає. Єдине, що я бачу, – бажання отримати доступ до інформації.

Воно є в кожної держави.

І ми – не виняток.

Джуді – експертка з ініціативи "Пояс і шлях" (BRI) та геополітичних питань. Ми використовуємо її аналітичні дані, коли визначаємо тенденції, особливо пов’язані з цільовими об’єктами зловмисників. Іноді ми виявляємо нові цільові об’єкти, однак не можемо встановити їх зв’язок із попередніми діями кіберзлочинців. У такому разі ми звертаємося по допомогу до Джуді, яка говорить нам щось на кшталт "у цій країні проходить важлива економічна зустріч, на якій обговорюється можливість побудови нового заводу в тому чи іншому місці".

Вона надає нам цінний і важливий контекст про причини вчинків зловмисників. Усі ми знаємо, як використовувати Bing Translate і шукати новини. Однак коли ми просто не можемо знайти логіку в діях, Джуді розтлумачує нам їх. Тоді все стає на свої місця.

Відстеження китайських зловмисників вимагає знань щодо структури уряду цієї країни й того, як працюють її компанії та установи. Джуді допомагає нам зрозуміти структуру відповідних організацій і те, як вони функціонують, зокрема як заробляють гроші й взаємодіють із китайським урядом.

Як сказала Сара, це комунікація. Ми активно переписуємося в чаті Teams і ділимось аналітичними даними, які отримали із систем телеметрії і які допомогли нам дійти певного висновку.

Мій секрет? Багато часу проводити в Інтернеті й читати. Я думаю, одна з найцінніших речей, яка може допомогти в роботі, – знання того, як використовувати різні пошукові системи.

Я чудово володію Bing, Baidu і Yandex.

Ці системи забезпечують різні пошукові результати. Нічого особливого. Я просто отримую різні результати з різних джерел і аналізую їх.

Усі учасники нашої команди дуже обізнані й кваліфіковані. У кожного є свої сильні сторони. Просто потрібно знати, у кого що запитувати. Чудово працювати в команді, де всі можуть без проблем ставити одне одному запитання. Ми завжди кажемо, що безглуздих запитань не існує.

Без цих запитань не було б результату.

Саме час поговорити про IT-безпеку. Коли я тільки починала, було не так багато можливостей для навчання (як-от занять або ресурсів). Сьогодні існують спеціальні програми для початківців і досвідчених фахівців. Є багато можливостей реалізувати себе в професії. Звичайно, деякі ресурси з навчання кібербезпеці можуть коштувати дорого, однак є й такі, які можна отримати за зниженою ціною або безкоштовно.

Один із них було розроблено Сімеоном Какпові й Грегом Шломером, нашими колегами з Центру аналізу загроз Microsoft. Цей інструмент, KC7, дає всім охочим змогу дізнатися більше про IT-безпеку, мережеві й хостингові події, а також про відстеження зловмисників.

Сьогодні можна отримувати доступ до ресурсів для вивчення різних тем. Коли я тільки починала свою кар’єру, потрібно було працювати в компанії з багатомільйонним бюджетом, щоб дозволити собі такі інструменти. Для багатьох це було перепоною на шляху до реалізації себе в професії. Сьогодні ж усі можуть аналізувати зразки шкідливого програмного забезпечення й захоплення пакетів, які раніше було досить важко знайти. Перепони поступово зникають. Зараз є багато безкоштовних онлайнових інструментів і ресурсів, які дають змогу навчатися самостійно й у бажаному темпі.

Варто лише визначитися з областю, яка найбільше цікавить вас. Дослідження шкідливого програмного забезпечення. Цифрова криміналістика. Аналіз кіберзагроз. Виберіть теми, які найбільше цікавлять вас, скористайтеся загальнодоступними ресурсами й навчайтеся.

Найважливіше – мати бажання тягнутися до знань. Крім того, потрібно вміти співпрацювати з іншими людьми. Пам’ятайте, що кібербезпека – це командний, а не індивідуальний вид спорту.

Важливо вміти працювати в команді, мати бажання вчитися й бути відкритим до нових знань. Ви маєте не боятися ставити запитання й шукати способи ефективної взаємодії з колегами.

Безсумнівно. Хочу наголосити, що наша команда з аналізу загроз також співпрацює з багатьма іншими командами корпорації Майкрософт. Знання й досвід наших колег допомагають нам зрозуміти, що саме роблять зловмисники та чому. Без них це було б неможливо.