#NOHACK - 2020, anul când au apărut cei mai pricepuți mercenari cibernetici

În prima parte a acestui episod am vorbit despre amenințările care ne-au afectat pe noi, utilizatorii obișnuiți. Dar 2020 nu a fost un an greu din punct de vedere al atacurilor informatice doar pentru noi, utilizatorii de acasă, ci în special pentru companii. 

Munca de acasă ne-a adus unora dintre noi un confort psihic sporit în vremuri de pandemie, poate și anumite alte avantaje. Dar acest mod de lucru le-a dat bătăi mari de cap administratorilor IT din marile și micile companii.

Munca remote sau în regim hibrid i-a făcut pe angajați să uite de normele de securitate stricte, iar folosirea parolelor slabe sau utilizarea device-urilor personale pentru accesarea conturilor profesionale au fost vulnerabilitățile pe care hackerii le-au folosit pentru a compromite informații sensibile și date valoroase. 

Săptămâna trecută ți-am lansat o provocare și am descris un atac cibernetic. Dacă ai răspuns în comentarii pe pagina Bitdefender de pe Facebook sau în formularul din articolul anterior, poți primi licențe Bitdefender Total Security. 

Atacul descris săptămâna trecută se folosește de un program malițios pentru a-ți înregistra toate apăsările de taste. Software-ul capabil să facă acest lucru se numește keylogger, iar această amenințare nu este una nouă. 

Infractorii cibernetici se folosesc de keyloggeri pentru a-ți fura datele cardurilor sau pentru a afla datele de conectare la emailul personal sau cel profesional. Un keylogger poate ajunge în computerul tău după accesarea unui link de phishing ce te pune să descarci un fișier, sau îl poți descărca fără să știi de pe site-urile cu torrente. 

Dacă ai ghicit termenul ”keylogger”, urmează să te contactăm noi și să te premiem cu o licență pentru noua soluție de securitate Bitdefender.

Anul 2020 a fost anul în care companiile au simțit impactul războiului cibernetic, acel cyber warfare. Practic, 60% din cei care iau decizii de securitate în companii au spus că cyber warfare este o amenințare pentru compania lor. 

„În trecut, spre exemplu, dacă erau la birou, clădirile, de regulă, de birouri sunt dotate cu generatoare, au linii de internet separate, poate au și conexiuni de tip satelit și așa mai departe. Și atunci poate cyber warfare nu i-ar fi afectat atât de mult, practic nu ar fi pus în genunchi infrastructura lor de business. În schimb acum, cu munca de acasă, e posibil să fie mai afectați”, a spus Liviu Arsene, Senior Cybersecurity Analyst la Bitdefender. 

De asemenea, a apărut un trend foarte interesant, adică atacatorii care erau sponsorizați de națiuni ce au devenit mercenari. 

„APT-urile sunt acele grupări de hackeri foarte pregătiți, foarte, care au la dispoziție resurse financiare și tind să planifice atacuri ce au în spate o motivație politică, spre exemplu, sau motivație geopolitică a unui Guvern, spre exemplu”, explică Arsene. El menționează că aceștia au devenit mercenari comerciali. 

„În schimb, ce-am văzut este că e posibil să ne confruntăm cu un nou trend și anume mercentari de tip APT. Noi le spunem APT hackers for hire. Adică, așa cum este ransomware as a service, în care tu fără niciun fel de cunoștințe te duci și apelezi la serviciile celor care creează ransomware și practic îți pun la dispoziție toată infrastructura și poți să infectezi victime sau să faci bani fără să ai niciun fel de cunoștințe tehnice, au apărut și un fel de APT as a Service”, a explicat specialistul. 

De regulă APT-urile, aceste grupări care erau sponsorizate statal acționau doar în interes politic sau acționau doar asupra unor victime care erau tot entități statale. În schimb dacă au apărut acești mercenari practic pot fi folosiți inclusiv către atacuri ale unor companii, spionajul industrial, spre exemplu, poate fi dus la un complet nou nivel din cauza aceasta.

Bitdefender a investigat o asemenea vulnerabilitate și a descoperit o grupare care folosea vulnerabilități de tip zero day, ceea ce se vede foarte rar în atacurile comerciale. În plus, aveau instrumente create special pentru acea companie, pentru angajați specifici care erau țintiți 

„Pentru că, din nou, nu erau motivați financiar, deci atacul în sine nu era unul în care vizau bani, nu au instalat ransomware, nu le-au cerut nicio recompensă, nu au folosit nicio metodă de șantaj, ci pur și simplu părea să fie vorba doar de spionaj industrial, deci e clar că cineva era interesat să afle ce face compania respectiv”, spune Liviu Arsene. 

Munca de acasă a schimbat totul. Companiile și-au mutat birourile în sufrageria sau bucătăria angajaților. 

„Uite, cea mai mare, cel mai mare risc dacă vrei a fost faptul că jumătate din companii la nivel global și cred că-n România poate mai mult de jumătate nu au fost pregătite pentru un scenariu de tipul pandemiei. Un scenariu în care toți angajații lor se vor migra în mediul remote. Nu vor mai lucra în companie, în birou, ci vor lucra de acasă. Și faptul că tu nu ai un scenariu care să cuprindă acest lucru, practic te obligă ca efectiv peste noapte să iei o serie de decizii de securitate și de infrastructură care te-ar putea expune semnificativ riscurilor informatice pe o perioadă destul de lungă, 12-18 luni, cel puțin. Da, deci cred că ăsta a fost cel mai mare risc, faptul că nu au avut un scenariu care să acopere munca de la distanță completă pentru toți angajații”, spune Liviu Arsene. 

El vede aceste probleme extinzându-se pe termen lung, pentru că anul viitor efectele lor abia se vor vedea. 

O eroare făcută în acest shift a fost cel de configurări greșite. „Poate au deschis infrastructuri către internet, tocmai pentru ca angajații să se poată conecta la ele, infrastructuri care în mod normal nu ar trebui să stea deschise. Sau poate nu au configurat servicii de remote desktop, spre exemplu sau remote management corespunzător. Poate politicile de securitate pe care le-au implementat peste noapte nu sunt complete sau nu sunt corecte sau poate nu iau în calcul faptul că nu mai există acei angajați în infrastructura de la birou”, spune Liviu Arsene. 

Angajații sunt de multe ori cele mai vulnerabile elemente dintr-o companie din punct de vedere al securității online. 

„Și asta din cauza faptului că s-au migrat în infrastructura personală, o infrastructură pe care companiile nu o pot controla. Nu știu ce fel de echipamente mai au în casă angajații, dispozitive inteligente și așa mai departe. Nu știu ce tip routere au în casă, da, deci angajatul depinde practic de... compania depinde de infrastructura personală a angajatului. Și bineînțeles nu au controlul asupra a cine interacționează cu echipamentele de birou ale firmei”, spune Liviu. 

O problemă mare e faptul că laptopul de birou e folosit acasă uneori chiar și de către copii. 

„Imaginează-ți să-ți lași laptopul pe mâna copilului, spre exemplu. Există riscul ca date sensibile fie să fie șterse sau fie să fie transferate din greșeală unor persoane neautorizate. În cel mai fericit caz. Nu mai vorbim de riscurile asociate cu a instala aplicații neautorizate de IT și așa mai departe”, spune Liviu Arsene. 

Un alt risc ar mai fi și, din nou, spamul și phishing-ul.

„Un exemplu foarte simplu de care ne-am izbit așa, de la mai mulți clienți este faptul că dacă până acum, angajații care primeau phishing, spam, care impersonau poate un alt membru din organizație, CFO sau un director financiar, un director de IT, deci acel spam care impersona pe cineva din firmă era înainte de pandemie ușor de identificat, în sensul că luai laptopul, te duceai direct la IT sau te duceai direct la omul respectiv și-l întrebai „mi-ai trimis tu mailul ăsta?”. El îți spunea „nu, nu e de la mine, e spam, șterge-l!”. Sau raportează-l. Ei bine acum, lucrând de acasă, aceste mesaje practic nu mai pot fi validate la fel de ușor ca fiind nelegitime, da, deci nu mai ai un coleg sau un coleg de birou, echipa de IT la care să te duci cu laptopul și să-i spui „uite, am primit mesajul ăsta, ce fac?”, explică Liviu Arsene. 

„Înainte de pandemie atacatorii făceau greșeli gramaticale poate sau nu-și dădeau foarte mult interes ca mesajul pe care-l trimiteau să fie, să pară foarte legitim. Imediat cum a apărut pandemia am văzut o schimbare enormă, radicală. Mesajele au devenit foarte bine create, folosesc jargon, mai puține greșeli gramaticale, folosesc adrese de email ce par legitime, sunt semnate cu persoane care chiar există în realitate. Deci dacă tu cauți numele persoanei care ți-a trimis mailul respectiv, îl găsești. Clar, cel mai probabil nu lucrează în domeniul în care pretinde emailul, dar persoana există. Și atunci practic putem vedea acea sofisticare , creșterea gradului de sofisticare și care cel mai probabil aduce de la sine și o creștere a ratei de succes pe care o au aceste mesaje”, spune Arsene.