Egy veszélyes módszer a végponti védelem megkerülésére

A legális helyről indított támadásokat nem észlelik a kibervédelmi rendszerek.

Sok biztonsági platform úgy véd az adathalászati támadások ellen, hogy megakadályozza a felhasználókat abban, hogy rosszindulatú hivatkozásokra kattintsanak. Ehhez például megvizsgálják, hogy egy adott IP-címhez köthető-e valamilyen rosszindulatú kampány. Ha azonban a rosszindulatú programot az Azure vagy a Google felhőben hosztolják, akkor ezt a széles körben használt infrastruktúrát nem lehet feketelistára helyezni. A Slacket, a GitHubot és más együttműködést segítő eszközök szintén felhasználhatók a védelem kikerülésére.

Miutánt a rosszindulatú program települt a számítógépre, gyakran előfordul, hogy kapcsolatba lép a parancs és vezérlő szerverével, hogy utasításokat kapjon arra vonatkozólag, hogy mit tegyen, illetve hogy adatokat továbbítson "haza". Ezt a kommunikációs csatornát is álcázni lehet úgy, hogy a parancs és vezérlő szervert egy különben legális platformon helyezik el.

Ráadásul ezek a szolgáltatások beépített titkosító funkciókat tartalmaznak. Akár egy online fotómegosztó webhelyet is lehet támadásoknál felhasználni. A kiberbűnözők közösségi média fiókokat hoznak létre, és olyan fényképeket töltenek fel, amelyek rejtett kódot vagy parancsokat tartalmaznak a képen belül. A rosszindulatú programot ezután arra utasítják, hogy egyszerűen férjen hozzá a fiókhoz, vonja ki a képben elrejtett parancsokat, majd hajtsa végre azokat.

A vállalati IT-részlegek és biztonsági személyzetek csupán azt fogják tapasztalni, hogy egy alkalmazott közösségi média oldalakat böngészget. Nehéz lefülelni az ilyen módszereket, még a végpontvédelmi rendszerek legújabb generációja is hatástalan tud lenni, ha a támadók a normál felhasználói viselkedést utánozzák.

Az ilyen technikák elleni védekezésül olyan példákat kell keresni, amikor az egyébként szokásos jellegű kommunikáció szokatlan időpontokban valósul meg, vagy amikor egy alkalmazás használata nem jellemző egy adott vállalati részlegre.

A parancsok képekben való elrejtésének módszere, a szteganográfia ugyancsak használható parancsok levélmellékletekben való elrejtésére. Májusban az Eset biztonsági cég egy jelentést adott ki a Turla LightNeuron backdoor programról, amelyet a Microsoft Exchange levelezőszerverek elleni támadásokhoz terveztek. Az Eset kutatói szerint a LightNeuron emaileket használ a parancs és vezérlő szervereivel való kommunikációhoz, és az üzeneteket pdf és jpg formátumú képmellékletekben rejti el.

Forrás:https://computerworld.hu