В четвъртък Министерството на правосъдието на САЩ повдигна обвинение на гражданин на Северна Корея за серия от атаки с цел получаване на откуп срещу болници и доставчици на здравни услуги в Щатите, американски отбранителни компании, НАСА и дори срещу китайски обект.

В обвинителния акт [PDF] Рим Джонг Хьок е посочен като участник в „заговор за хакване и изнудване на американски болници и други доставчици на здравни услуги, изпиране на приходите от откупи и последващо използване на тези приходи за финансиране на допълнителни компютърни прониквания в отбранителни, технологични и правителствени структури по целия свят“.

Твърди се, че Рим е използвал зловреден софтуер, разработен във висшето военно разузнаване на Северна Корея – Генералното разузнавателно бюро (RGB), което според обвинителния акт ръководи киберзвено, идентифицирано по различни начини като Andariel, Onyx Sleet и Silent Chollima. Известно е, че Andariel се е насочвал към ERP системи, Onyx Sleet е преследвал среди на DevOps, а Silent Chollima е свързан с внедряването на ransomware Maui.

Това е зловредният софтуер, за който се твърди, че Rim е участвал в разгръщането му срещу цели, включително осем базирани в САЩ здравни организации. Andariel също така е успял да ексфилтрира данни от Службата на генералния инспектор на НАСА, четири базирани в САЩ отбранителни компании и две бази на американските военновъздушни сили.

Бандата е атакувала и в други държави. В обвинителния акт като цели се споменават двойка южнокорейски отбранителни компании, както и един южнокорейски производител. Дори китайска енергийна компания е станала мишена – странно, като се има предвид, че Северна Корея зависи от Народната република за покровителство и ресурси.

В обвинителния акт се твърди, че обвиняемите са изпирали откупи в Китай, след което са използвали приходите за закупуване на инфраструктура, използвана за извършване на още обири по света – включително гореспоменатите набези за ексфилтрация.

Министерството на правосъдието и ФБР съобщиха, че са пресекли „приблизително 114 000 долара във виртуална валута, получени от атаки с цел откуп и свързани с тях транзакции за пране на пари“, и са иззели онлайн акаунти, използвани от съучастниците по това дело.

Но не могат да конфискуват Рим – неговото местонахождение, както и настоящата му самоличност, са неизвестни. Чичо Сам е обявил награда от 10 млн. долара за информация, която ще позволи на властите да го открият.

Майкрософт и Mandiant се включват

В същия ден, в който бе разкрит обвинителният акт, Microsoft и Mandiant публикуваха своето виждане за това как Andariel върши мръсните си дела.

Microsoft смята, че екипът действа от 2014 г. и използва „обширен набор от персонализирани инструменти и зловреден софтуер“, които редовно развива.

„Способността на Onyx Sleet да разработва спектър от инструменти за стартиране на своята изпитана верига от атаки го прави постоянна заплаха, особено за цели, представляващи интерес за севернокорейското разузнаване, като организации в отбранителния, инженерния и енергийния сектор“, според оценката на Microsoft.

Сред арсенала му: персонализирани задни вратички с имена LightHand и BlackRAT, които позволяват изпълнението на команди на отдалечени целеви устройства. Бандата разработва и потребителски зловреден софтуер, като например зловредния софтуер Dora RAT, разгърнат през май тази година, за да бъде насочен към южнокорейски организации.

Освен своите персонализирани инструменти бандата се насочва към добре познати проблеми като дефекта Log4J и уязвимостта Confluence на Atlassian за неправилно оторизиране.

Mandiant използва името „APT 45“, за да опише бандата, твърди, че тя е активна от 2009 г., и отбелязва, че някои от докладваните от нея експлойти са свързани с известната Lazarus Group.

„APT45 и клъстерите от дейности, за които се подозира, че са свързани с групата, са силно свързани с отделна генеалогия на семейства зловреден софтуер, отделна от аналогични севернокорейски оператори като TEMP.Hermit и APT43“, твърди Mandiant, преди да отбележи, че групата е най-често наблюдаваният севернокорейски тартор на критична инфраструктура.

Обвинителният акт е внесен в Окръжния съд на САЩ за района на Канзас – отражение на факта, че болницата в Канзас е първата посочена жертва.

„Макар че Северна Корея използва този вид киберпрестъпления, за да заобикаля международните санкции и да финансира своите политически и военни амбиции, въздействието на тези безсмислени действия има пряко отражение върху гражданите на Канзас“, заявява в каноничен цитат отговорният специален агент Стивън А Сайръс от полевия офис на ФБР в Канзас Сити. „Тези действия пречат на семействата ни да получат необходимото им здравеопазване, забавят реакцията на нашите служби за бързо реагиране, застрашават критичната ни инфраструктура и в крайна сметка струват скъпо на Канзас чрез платените откупи, загубената производителност и парите, похарчени за възстановяване на мрежите ни след кибератаки.“

Сайръс допълни, че обвиненията, представени в четвъртък, „доказват, че тези кибернетични актьори не могат да действат безнаказано и че злонамерените действия срещу гражданите на Канзас и останалата част от Съединените щати имат тежки последици“.

Последната консултация по сигурността на Progress Software предупреждава клиентите за втората критична уязвимост, насочена към сървъра Telerik Report Server в рамките на няколко месеца.

CVE-2024-6327 е несигурна уязвимост при десериализация (CWE-502) с оценка 9,9 по CVSS. Успешните експлойти могат да доведат до отдалечено изпълнение на код (RCE) на сървъри с всички версии преди 10.1.24.709.

Това са видове грешки, които в идеалния свят би трябвало да бъдат отстранени двойно по-бързо, но трябва да обърнете специално внимание на тази, по-специално поради историята на атакуващите с този вид уязвимости в този пакет продукти.

Някои от вас може би си спомнят CVE-2019-18935, друга уязвимост при десериализация на ненадеждни данни, засягаща Telerik UI за ASP.NET AJAX. Тя беше използвана от множество нападатели, включително от неуточнена група за напреднали постоянни заплахи (APT), за да атакува успешно федералните агенции на САЩ през 2023 г., въпреки че беше добавена в каталога на CISA за известни експлоатирани уязвимости (KEV) през 2021 г.

В консултация по сигурността CISA заяви, че скенерът за уязвимости на агенцията е разполагал с приставката за откриване на CVE-2019-18935, но не е уловил експлойта, защото Telerik UI е бил инсталиран в нетипичен файлов път – реалност, която според нея вероятно е еднаква за много потребители.

Въпреки че APT не беше уточнена, CVE-2019-18935 е известен фаворит на китайските нападатели. По-голямата част от злонамереното поведение е включвало разузнаване и сканиране, заяви CISA.

Разкриването на уязвимостта я прави втората грешка с почти максимална тежест в Telerik Report Server в рамките на толкова много месеци. В края на май беше открита и CVE-2024-4358 с оценка 9.8 – грешка за заобикаляне на удостоверяването, която позволява на нападателите да се направят на потребители администратори.

Sina Kheirkhah, изследовател по сигурността в Summoning Team, откри дефекта и демонстрира как той може да бъде верижно свързан с още един десериализация на ненадеждни данни (CVE-2024-1800) в Telerik Report Server от април, за да се постигне пълен RCE.

Двойна неприятност

Progress разкри и втора уязвимост, CVE-2024-6096, засягаща Telerik Reporting – нейния инструмент за вградени отчети в .NET.

С оценка 8,8 по CVSS тя не е съвсем в критичната категория, но определено е достатъчно сериозна, за да искате да направите нещо по въпроса.

Това е несигурна уязвимост в разрешаването на типовете, която може да доведе до RCE чрез атака за инжектиране на обект, ако бъде използвана.

Засегнати са всички версии 18.1.24.514 и по-стари, а обновяването до 18.1.24.709 е единственият начин за отстраняване на уязвимостта – няма налични смекчаващи мерки, казват от Progress.

Неотдавнашният провал на CrowdStrike с Windows със сигурност ще заеме видно място в летописа на епичните технологични провали. На 19 юли гигантът в областта на киберсигурността постигна това, за което легиони хакери могат само да мечтаят – постави на колене милиони системи Windows по света с една-единствена грешна актуализация.

Като ветеран в технологичната журналистика съм виждал своя дял от софтуерни гафове. По дяволите, през 1988 г., когато бях системен администратор, се сблъсках с дядото на всички мрежови взривове – червея Morris. Въпреки това не мога да не се възхитя от мащаба и въздействието на тази грешка. CrowdStrike, компания, оценявана на над 70 милиарда долара, на която безброй организации се доверяват, за да защитават цифровите си активи, по невнимание стана източник на един от най-големите ИТ сривове в историята.

Последиците от този провал бяха зашеметяващи – хиляди отменени полети, прекъснати здравни услуги и изключени системи за спешна помощ. Това е сериозно напомняне за това колко дълбоко е преплетена нашата цифрова инфраструктура и колко уязвима може да бъде тя от една единствена точка на срив.

Нека да разгледаме каскадата от грешки, които доведоха до това фиаско.

В началото Microsoft разреши на софтуера за сигурност Falcon на CrowdStrike да работи на ниско ниво с ядрото на Windows. Всеки проблем на това ниско ниво вероятно ще предизвика син екран на смъртта (BSOD). Междувременно Microsoft уж иска да обвини Европейската комисия – не, наистина – за това, че е поискала от нея да предостави на доставчиците на софтуер от трети страни това ниво на достъп.

Знаете ли, мисля, че с всички разработчици и адвокати на Microsoft биха могли да измислят по-добър, законен начин да избегнат подобен вид гафове и да позволят на софтуерните компании да се конкурират равноправно. Това не е ракетна наука.

Майкрософт не иска да носи никаква вина, но заслужава част от нея. Твърде дълго време ние слагахме твърде много важни ИТ яйца в кошницата на Windows. Когато тази кошница падне, пада и голяма част от икономиката.

Връщайки се към CrowdStrike, компанията твърди, че „логическа грешка“ в рутинна актуализация на конфигурацията на сензора е причинила срива. Но за компания от калибъра на CrowdStrike подобна фундаментална грешка е непростима. Това не е някакъв неясен краен случай – това е критичен провал в основната ѝ функционалност.

Това дори не беше проблем с кода. Това не беше актуализация на софтуера сама по себе си. Злодеят на тази част беше конфигурационен файл на Falcon, наречен канален файл. Един прост файл, който трябваше да съдържа данни за актуализиране на настройка за сигурност, в крайна сметка предизвика каскада от един BSOD след друг.

Как такъв катастрофален бъг е преминал през проверката на качеството? CrowdStrike призна: „Поради грешка в Content Validator една от двете Template Instances премина валидирането, въпреки че съдържаше проблемни данни за съдържанието [и] беше внедрена в производството.“ Когато софтуерът ви има дълбоки връзки с милиони системи Windows, тестването ви трябва да е непробиваемо. Очевидно е, че протоколите за тестване на CrowdStrike се нуждаят от мащабна промяна.

Също така вече знаем, както посочи експертът по сигурността Кевин Бомонт в Mastodon: „Ключовият извод – в момента актуализациите на каналите се разгръщат глобално и незабавно.“ Винаги изпращам големи пачове на всички мои клиенти едновременно и изчаквам да видя какво ще се случи по-нататък. Дали всички не го правят? Кои са тези хора и защо някой им позволява да се занимават със сигурност?

Има една проста концепция, наречена тестване на канарчета. Може би сте чували за нея. Подобно на прословутото канарче в каменовъглена мина, първо проверявате дали едно ново пространство – или програма – е безопасно, като го изпробвате върху едно канарче – или малка група потребители – и след това, ако всичко е наред, пускате всички останали.

Нека не забравяме, че първоначалната реакция на CrowdStrike беше бавна и неадекватна. Потребителите бяха оставени да търсят отговори, докато критичната инфраструктура се сриваше. Дори днес, почти седмица по-късно, все още имам приятели, които имат проблеми с полетите си в Delta.

Това е отрезвяващ сигнал за събуждане за всички нас в технологичната индустрия. Докато бързаме да защитим системите си от външни заплахи, не трябва да пренебрегваме потенциала за самонараняване. Строгите тестове, механизмите за безопасност и здравословната доза смирение са от съществено значение при работата с критични системи.

В крайна сметка фиаското на CrowdStrike с Windows е учебникарски пример за закона на Мърфи в действие – всичко, което може да се обърка, ще се обърка. Това е болезнен урок, но е добре всички да се поучим от него. В края на краищата, в областта на киберсигурността следващата голяма заплаха може да е само на една актуализация разстояние.