Главная угроза: комплексные таргетированные атаки

Примером такой угрозы служит червь Flame – новое оружие кибервойн, которое атаковало иранский энергетический сектор и теперь распространяется по Ближнему Востоку. Вредоносная программа Flame1, обнаруженная специалистами "Лаборатории Касперского", известна как "одна из сложнейших угроз всех времен". И хотя изначально вирус Flame должен был саботировать ядерную программу Ирана, он до сих пор не дает покоя экспертам по безопасности. Дело в том, что в настоящее время он распространился за пределы целевой инфраструктуры, заражая корпоративные системы во всем мире.

Его предшественником был вирус Stuxnet, который был разработан специально для заражения и нарушения работы систем диспетчерского контроля и сбора данных (SCADA), которые управляли иранскими центрифугами для обогащения урана. Успех этой вредоносной программы превзошел ожидания ее создателей: оборудование перешло в неконтролируемый режим работы с курсом на самоуничтожение. К несчастью, Stuxnet тоже вышел за пределы целевых объектов Ирана и стал заражать системы SCADA в Германии, а потом и в других странах мира.

И Flame, и Stuxnet относятся к комплексным таргетированным угрозам. Это оружие нового поколения для военных операций под контролем правительства, террористов и хорошо финансируемых киберпреступных синдикатов. Эти вредоносные программы, оснащенные множеством функций для сокрытия своей деятельности, прежде всего направлены на кражу интеллектуальной собственности, планов военных организаций и другие ценные корпоративные активы.

Однако жертвами этой войны станут, скорее всего, средние и небольшие предприятия, которые окажутся под перекрестным огнем, если не развернут комплексную инфраструктуру безопасности для защиты конечных точек. Прошли те дни, когда средние и крупные компании могли наслаждаться относительной анонимностью или экономить на средствах безопасности. Комплексные таргетированные угрозы и атаки "нулевого дня" становятся повсеместными и беспощадными.

Эволюция угроз

Когда-то угрозы рассылались массово, как правило, по электронной почте. Жертву заманивали в ловушку с помощью фишингового сообщения, якобы отправленного заграничным финансистом или давно пропавшим родственником. И хотя эти угрозы были потенциально опасными, они рассылались без разбора. Кроме того, их можно было обнаружить и предотвратить с помощью базовых средств безопасности. Эти виды атак по-прежнему преобладают в интернете. Однако в последнее время уровень сложности угроз значительно повысился: теперь все чаще встречаются комплексные таргетированные угрозы и атаки "нулевого дня", которые порождают страх и беспокойство пользователей.

В последние несколько лет самые громкие атаки с применением комплексных таргетированных угроз затмевают даже наиболее невероятные сценарии. Операция Aurora: атака на Google. В 2009 г. в ходе этой атаки китайского происхождения через уязвимости в Windows Internet Explorer был получен исходный код и другие виды интеллектуальной собственности Google и около 30-ти других глобальных корпораций.

Атака на RSA. Благодаря этой атаке со взломом ведущей разработки компании, ключей SecurID, надежностью которых так гордился поставщик решений безопасности, в 2011 г. киберпреступники смогли внедриться в системы подрядчиков военных ведомств США: Lockheed Martin, Northrop Grumman и L3 Communications.

Национальная Лаборатория Окриджа. Лабораторию Министерства энергетики пришлось перевести в автономный режим, когда администраторы обнаружили, что в результате фишинговой атаки с сервера выгружались конфиденциальные данные.

GhostNet. Эта сеть для кибершпионажа, состоящая из 1295 инфицированных компьютеров в 103 странах, была нацелена на ряд сторонников движения за независимость Тибета, а также другие крупные организации, включая местные министерства, комиссии по иностранным делам, посольства, международные и неправительственные организации.

ShadyRat. В рамках этой резонансной кампании были взломаны сети государственных органов, некоммерческих организаций и крупных предприятий в 14-ти странах мира, всего насчитывается 70 пострадавших организаций.

Основные признаки

В наши дни комплексные таргетированные угрозы и атаки "нулевого дня" идут рука об руку и широко освещаются в СМИ. И все же, что они собой представляют и чем отличаются от таких угроз, как троянцы или черви?

Можно с уверенностью сказать, что это не обычные любительские атаки. Из названия ясно, что такие угрозы работают на основе передовых технологий, а также нескольких методов и векторов для целенаправленных атак на конкретные организации с целью получения конфиденциальной или секретной информации.

Создатели комплексных таргетированных угроз сильно отличаются от авторов угроз вида скрипт-кидди, запускающих SQL-атаки, или среднестатистического автора вредоносного ПО, сдающего ботнеты тому, кто предложит самую высокую цену. Обычно такие передовые угрозы планируются крупными организованными синдикатами, имеющими в своем распоряжении целые команды экспертов, которые располагают множеством технологий сбора разведывательных данных. Поскольку эти угрозы действуют постепенно, не привлекая внимания, и умеют скрывать следы своей деятельности, их все чаще предпочитают киберпреступники, враждебно настроенные правительства, террористы и преступные синдикаты.

Схема работы

В реализации комплексных таргетированных угроз киберпреступники используют вредоносные программы для получения персонализированной информации, которая помогает осуществить второй этап атаки. После этого идут в ход индивидуальные технологии социальной инженерии, цель которых – внедриться в организацию через ее самое слабое место: конечного пользователя.

На данном этапе атаки целью являются лица, имеющие доступ к нужным учетным записям. При этом используются убедительные письма, которые якобы отправлены из отдела кадров или другого надежного источника. Один неосторожной щелчок мышью в таком письме – и киберпреступники получают свободный доступ к самым ценным сведениям организации, но никто об этом даже не подозревает. Получив доступ к системе, комплексная таргетированная угроза задействует разнообразные троянцы, вирусы и другие вредоносные программы. Они заражают сеть и создают множество "лазеек", которые могут неопределенно долго оставаться на рабочих станциях и серверах. Все это время угроза незамеченной перемещается с одного компьютера на другой в поисках заданной цели.

Эксплойты "нулевого дня"

Излюбленным инструментом комплексных таргетированных угроз неизменно являются эксплойты "нулевого дня". Это емкое название хорошо отражает суть угроз, которые пользуются уязвимостями безопасности в программах до того, как поставщик устранит их или хотя бы узнает об их существовании. Таким образом, между первой атакой и исправлением проходит меньше одного дня – "нуль дней". В результате киберпреступники получают полную свободу действий. Не боясь возмездия, они используют преимущества атаки, от которой нет известных способов защиты.

Вредоносные программы, использующие уязвимости "нулевого дня", могут незаметно нанести серьезный ущерб организации. Они нацелены на кражу защищаемой информации, такой, как исходный код, интеллектуальная собственность, планы военных организаций, данные оборонной отрасли и другие правительственные тайны, используемые в шпионаже. Когда организация узнает об атаке, для отдела по связям с общественностью это оборачивается кошмаром наяву. Ущерб исчисляется миллионами: ведь нужно не только провести ревизию инфраструктуры безопасности, но и выплатить судебные издержки, а также справиться с последствиями оттока клиентов. Не говоря уже о том, сколько сил, времени и средств уходит на восстановление репутации и доверия клиентов.

Комплексные таргетированные угрозы и эксплойты "нулевого дня" – это далеко не новые явления. Впервые они были применены несколько лет назад, задолго до того, как эти термины вошли в жаргон специалистов по безопасности. До сих пор многие организации даже не догадываются о том, что уже несколько месяцев (а порой и лет) назад стали жертвой скрытой атаки "нулевого дня". Согласно отчету Verizon о нарушениях безопасности данных, 2,44% таких нарушений, связанных с интеллектуальной собственностью, обнаруживаются лишь спустя несколько лет.

Показательный пример: в отчете, опубликованном газетой Christian Science Monitor3, говорится, что еще в 2008 г. три нефтяных компании – ExxonMobil, Marathon Oil и ConocoPhilips – стали жертвами целевых кибератак, проведенных с использованием комплексных таргетированных угроз. В ходе атак (предположительно, китайского происхождения) киберпреступники загрузили на удаленный сервер критически важную информацию о количестве, ценности и расположении открытых нефтяных месторождений в мире. Однако сам факт атаки компании обнаружили лишь после того, как ФБР сообщила о краже у них конфиденциальной информации.

К 2011 г. комплексные таргетированные угрозы по праву заняли одно из первых мест в ряду угроз безопасности. Ведь именно из-за них такие компании, как Sony, Epsilon, HBGary и DigiNotar, понесли в этом году огромные убытки. Не говоря уже о компании RSA, которая потеряла почти 40 млн файлов с одноразовыми паролями для электронных ключей. В общей сложности, сбой системы безопасности RSA4 обошелся компании примерно в $66 млн, тогда как убытки Sony5 от потери 100 млн записей составили $170 млн.

На конец 2011 г. было зафиксировано не менее 535 нарушений защиты данных, в результате которых было потеряно 30,4 млн записей. Многие компании пали жертвой ряда сенсационных атак этого года, сообщает Privacy Rights Clearinghouse. И это – лишь малая часть известных нарушений, ведь каждый год происходят тысячи нарушений систем безопасности, которые не обнаруживаются или не раскрываются.

От комплексных таргетированных угроз можно и нужно защищаться. О методах защиты речь пойдет в статье "Комплексные таргетированные угрозы: обеспечение защиты".