Krajobraz zagrożeń 12-18/05/25

W minionym tygodniu cyberbezpieczeństwo i incydenty nie schodziły z medialnych nagłówków. W analizach skupiliśmy się przede wszystkim na atakach DDoS, które są niezwykle istotnym zagrożeniem, ale mimo to dalej pozostają niezrozumiane. Przyjrzeliśmy się technicznym aspektom backdoora na urządzenia Ivanti Connect Secure i głośnej podatności wykorzystywanej przez chińskich atakujących. Naszą uwagę zwróciły także ataki APT28 na popularne serwery pocztowe oraz cyberwojenne działania ze strony Korei Północnej. Zachęcamy do zapoznania się z naszym wyborem najistotniejszych wydarzeń i analityczną perspektywą na aktualny krajobraz zagrożeń.

Na skróty:

1. Temat tygodnia: Jak żyć z DDoSami?
2. Zaawansowane zagrożenia: Aktywność grupy APT28 w operacji RoundPress
3. Cybercrime: Coinbase nie zapłaci okupu, w zamian oferuje nagrodę za wskazanie sprawców
4. Oszustwa i podszycia: Komunikat MC przypomina o atakach na użytkowników Signala
5. Cyberwar: Zaangażowanie koreańskich grup APT w cyberwojnę
6. Złośliwe oprogramowanie: Backdoor RESURGE w działaniach grupy UNC5221
7. CVE Tygodnia: Jak podatności w SAP NetWeaver są wykorzystywane w atakach

Temat tygodnia

Jak żyć z DDoSami?

Już od kilku lat nieodzownym elementem krajobrazu zagrożeń są ataki DDoS. Stały się cyberbronią dla hakerów i haktywistów działających w cyberwojnie oraz narzędziem dla przestępców poszukujących okupu, kierujących swoje ataki na podatne firmy w sektorach finansowym, handlowym, energetycznym lub transportowym.

Można by powiedzieć, iż oswoiliśmy się z tą sytuacją. Jednak to nie do końca tak wygląda. Obserwujemy, analizujemy i widzimy duże zmiany pomiędzy tym jak atakowano dawniej i obecnie. Nasi adwersarze wiedzą, iż dobrze umiemy się bronić przed ich atakami, więc stale doskonalą warsztat, rozwijają narzędzia i starają się uderzać w coraz bardziej wyrafinowany sposób.

Jeszcze niedawno temat ataków można było ograniczyć do poziomu warstwy sieciowej – czy był to atak wolumetryczny, aplikacyjny oraz jaki wykorzystywał protokół. Potem nastąpiła epoka, gdy zaczęto uwzględniać taktyki. Pojawiły się ataki typu „carpet bomb” oraz „burst attack”. Każdy rok to kolejna zmiana w podejściu do DDoSów. w tej chwili mamy wiele ataków złożonych, wielowektorowych oraz długich. Adwersarze widząc skuteczność mechanizmów ochronnych zaczęli szukać słabych punktów. Osłabiają ochronę rozległymi atakami wolumetrycznymi, w tym czasie prowadząc intensywne dobrze zaplanowane ataki aplikacyjne. Dodatkowo zaobserwowaliśmy, iż atakujący starają się bardzo mocno rozproszyć swoje ataki poprzez zróżnicowane podejście do budowy swojej infrastruktury. Istnieją grupy wykorzystujące przejęte systemy klienckie, ale też korzystające z proxy-VPN i innych systemów anonimizacji IP, czy wykorzystujące duże botnety ze źle skonfigurowanych urządzeń sieciowych.

Dlaczego rośnie liczba ataków DDoS?

Z kilku powodów. Przede wszystkim społeczeństwo jest coraz bardziej uzależnione od usług cyfrowych, co powoduje, iż skuteczne ataki są bardziej dotkliwe dla użytkowników, ergo – bardziej atrakcyjne dla atakujących. Jednocześnie media internetowe ekstremalnie przyspieszyły propagację wiadomości, co przekłada się na łatwość dotarcia choćby do setek milionów użytkowników z informacją o ataku, problemach firmy czy jej niedostępności. A to dla atakujących dodatkowo wzmacnia wydźwięk oraz skutek ataku. To także możliwość wywierania zwiększonej presji na ofiarę, a w ostatnim czasie właśnie wykorzystanie ataków do celów propagandowych (w ramach konfliktów międzynarodowych) stało się głównym motywem różnych grup atakujących.

Skupiając się na przyczynach eskalacji tego rodzaju ataków zauważamy, iż do ich popularności przyczyniają się:

• łatwość i niski koszt przeprowadzenia
• wysoka skuteczność (jeżeli ofiara nie została adekwatnie przygotowana do tego rodzaju ataku)
• możliwość wykorzystania jako środka do wymuszeń okupu
• łatwa dostępność narzędzi lub gotowych usług przestępczych w modelu Crime-as-a-Service

Jak się chronić i bronić?

My natomiast, mając świadomość narażenia na takie ataki, powinniśmy się do nich się przygotować. Ze względu na swoją specyfikę należy je potraktować jako osobną kategorię cyberataków i dopasowywać środki ochronne do tego rodzaju zagrożenia. Praktyczne podejście do przeciwdziałania atakom i ograniczania ich skutków wymaga dużej wiedzy o samych atakach, przygotowania infrastruktury i zbudowania świadomego i operacyjnego zespołu, który podejmie stosowne działania.

Podstawą ochrony przed DDoS jest odpowiednio zaprojektowana architektura cyberbezpieczeństwa. najważniejsze jest tu nie tylko skalowanie łączy internetowych i dobór odpowiednich urządzeń sieciowych, ale także kooperacja z dostawcami usług internetowych (ISP). W przypadku dużych ataków wolumetrycznych, przekraczających możliwości lokalnej infrastruktury, tylko ISP jest w stanie skutecznie ograniczyć napływający ruch na poziomie sieci szkieletowej. Warto również rozważyć wykorzystanie specjalizowanych usług i platform ochrony anty-DDoS (tzw. scrubbing centers) oraz wdrożenie dedykowanych urządzeń do filtrowania ruchu na styku z operatorem. Szczególną uwagę należy poświęcić ochronie serwerów DNS, newralgicznych dla ciągłości działania firmy i często stanowiących cel ataków.

Drugim filarem skutecznej obrony jest detekcja, czyli rozbudowany monitoring infrastruktury. Obejmuje on zarówno łącza zewnętrzne, jak i wewnętrzne, a także serwery aplikacyjne i serwery DNS. Powinien umożliwiać wykrycie anomalii w ruchu sieciowym, identyfikację nietypowych wzorców oraz szybkie rozpoznanie rodzaju ataku. najważniejsze jest tu zbudowanie tzw. baseline, czyli profilu normalnego ruchu, co pozwala na precyzyjne ustawienie progów alertowych i szybkie reagowanie na odchylenia. Monitoring musi być ciągły i obejmować różne warstwy – od sieciowej po aplikacyjną.

Trzecim, równie istotnym aspektem, jest przygotowanie procedur reagowania oraz zespołu incydentowego. Obejmuje to zarówno dokumentację i inwentaryzację zasobów, jak i przygotowanie alternatywnych kanałów komunikacji oraz szablonów komunikatów na wypadek incydentu. Zespół powinien być przeszkolony i gotowy do działania 24/7, a procedury reagowania muszą być wieloetapowe: od przygotowania, przez detekcję i identyfikację ataku, ograniczanie skutków (mitygacja), działania naprawcze, aż po analizę incydentu i wdrożenie wniosków, które pozwolą na ciągłe udoskonalanie ochrony.

W praktyce skuteczna obrona przed DDoS wymaga aktywnego zarządzania incydentem. Oznacza to konieczność dynamicznego dostosowywania polityk bezpieczeństwa, szybkiej komunikacji wewnętrznej i zewnętrznej, oraz podejmowania decyzji dotyczących blokowania ruchu z określonych lokalizacji czy wdrażania dodatkowych filtrów. Ważne jest także regularne testowanie infrastruktury i zespołów poprzez symulacje ataków oraz ćwiczenia scenariuszowe, które pozwalają na sprawdzenie skuteczności procedur i przygotowanie personelu na realne zagrożenie.

Jak nie wspierać atakujących?

Kreatywność adwersarzy oraz łatwa dostępność infrastruktury do ataku sprawia, iż krajobraz DDoSów jest coraz bardziej skomplikowany, a prawidłowa ocena ataku i jego potencjalnego rozwoju – coraz trudniejsza. A to w istocie oznacza, iż wiedzę o atakach ma wąska grupa osób, pracujących przy danym incydencie. I tutaj ważna refleksja związana z publikowaniem różnych teorii na temat potencjalnych ataków i ich skuteczności:

Publikowanie informacji opartych o informacje przestępców z kanałów Telegram o prowadzonych atakach jest wprost postrzegana jako forma wspierania atakujących. ponieważ takie działanie powiela przygotowany przez nich przekaz propagandowy. Osoby chcące pochwalić się tym, iż mają dostęp do informacji grup przestępczych, nieświadomie wzmacniają dezinformację oraz zwiększają jej zasięgi. Publikacje powielające przekaz haktywistów są bardzo gwałtownie wykorzystywane przez nich do potwierdzania skuteczności własnych działań. Udostępnianie szczegółów dotyczących metod, narzędzi czy celów ataków daje przestępcom przewagę, umożliwiając im lepsze planowanie i koordynację działań.

W praktyce oznacza to, iż osoby publikujące takie informacje nieświadomie lub celowo pomagają w rozprzestrzenianiu zagrożeń, co może prowadzić do eskalacji ataków i poważniejszych szkód dla ofiar. Ponadto rozpowszechnianie danych o atakach w otwartych kanałach komunikacji może zachęcać innych cyberprzestępców do dołączania do działań lub inspirować nowych napastników. W ten sposób staje się elementem mechanizmu wspierającego cyberprzestępczość, przyczyniając się do wzrostu skali i skuteczności ataków. Wreszcie wspieranie atakujących poprzez publikowanie informacji o prowadzonych atakach osłabia wysiłki zespołów zajmujących się ochroną. Utrudnia skuteczne przeciwdziałanie, pozwalając napastnikom na szybkie dostosowywanie metod i unikanie wykrycia. Dlatego odpowiedzialne podejście do informacji o incydentach cyberbezpieczeństwa wymaga powstrzymania się od ich publicznego udostępniania i przekazywania ich wyłącznie do adekwatnych zespołów bezpieczeństwa.

Więcej informacji:
https://cert.orange.pl/aktualnosci/rekordowy-ddos-w-sieci-orange-polska

Wybrane zagrożenia tygodnia

Zaawansowane zagrożenia

Aktywność grupy APT28 w operacji RoundPress

ESET opublikował raport dotyczący operacji RoundPress związanej z grupą APT28 (w konwencji nazewniczej ESET – Sednit). Mowa o spearphishingowych kampaniach wymierzonych w sektory rządowe i obronne we Wschodniej Europie, szczególnie związane z wojną na Ukrainie. Grupa APT28 powiązana jest z wywiadem GRU z Rosji i skupia się na szpiegostwie.

Kampanie rozpoczęły się w 2023 roku i wykorzystywały podatność CVE-2020-35730, związaną z XSSem w produkcie Roundcube. Wykorzystanie podatności pozwalało na uruchomienie kodu JavaScriptu w kontekście okna webmaila. W 2024 grupa zaczęła wykorzystywać inną podatność, CVE-2023-43770, która również pozwalała na umieszczenie JS na renderowanej stronie e-maila w Roundcube.

Oprócz produktu Roundcube grupa w 2024 zaczęła atakować inne interfejsy WWW do obsługi poczty elektronicznej takie jak Horde, MDaemon oraz Zimbra.

W pierwszym przypadku Sednit wykorzystywał podatność XSS związaną z atrybutem onerror i błędną wartością atrybutu src. W przypadku napotkania błędnej wartości src, onerror wraz z payloadem w base64 jest wywoływany, a payload wykonywany dzięki window.parent.eval.

Dla produktu MDaemon wykorzystywana była podatność zero-day, określana później jako CVE-2024-1182. Podatność była XSS-em i polegała na wymuszeniu wykonania kodu z tagu img przez parser HTML MDaemona.

Dla Zimbry, grupa wykorzystywała podatność CVE-2024-27443, która polegała na braku sanityzacji atrybutu cif w zaproszeniach kalendarzowych wysyłanych przez e-maile. Wartość z tego atrybutu była bezpośrednio umieszczana w stronie HTML renderowanej przez Zimbrę, co pozwalało na wykonanie kodu Javascript w konkteście okna webmaila.