Alat kojim IT podrška ulazi u korisničke računare napadači koristili od avgusta, upozorenje stiglo tek sada
Napadači su od kraja avgusta koristili nepoznat propust u BeyondTrust Remote Supportu, programu kojim službe za podršku u velikim firmama i institucijama ulaze u računare korisnika kako bi efikasnije rešile problem. Propust ocenjen sa 9,3 od 10 dozvoljava napadaču bez naloga da čita i menja fajlove na samom BeyondTrust uređaju. Prema Mandiantu, napadači su tako preuzimali potpunu kontrolu, ostavljali sebi zadnja vrata i brisali tragove za sobom. Zatim su ukradenim administratorskim nalozima otvarali sesije na računarima kojima je uređaj služio. Ko drži taj uređaj, drži i sve lozinke koje kroz njega prolaze. BeyondTrust je klijente u oblaku zakrpio 8. oktobra, a upozorenje izdao tek 15., pa oni koji sami održavaju svoje uređaje nedelju dana nisu znali da zakrpa ne trpi odlaganje. CISA je propust uvrstila na listu aktivno eksploatisanih, a Shadowserver vidi preko 1.400 ovakvih uređaja izloženih na internetu. Mandiant napad sa srednjom do visokom pouzdanošću pripisuje špijunskoj grupi pod imenom Armory Castle i vezuje je za Kinu, a kineske reakcije na ovaj nalaz za sada nema. Isti proizvod je krajem 2024. bio ulaz i u američko Ministarstvo finansija, za šta je tada optužena druga grupa, a Peking je optužbe nazvao neosnovanim.
Alat za udaljenu podršku je po svojoj prirodi meta interesovanja loših momaka: postoji da bi neko spolja mogao da uđe u bilo koji računar u firmi. Ko preuzme taj alat, ne mora dalje da provaljuje, jer su mu automatski sva vrata otvorena. Za manje od dve godine ovo je treći ozbiljan propust u istom proizvodu: krajem 2024. kroz njega se ušlo u američko Ministarstvo finansija, a u februaru smo pisali o ranjivosti koju su ubrzo iskoristile i ransomver bande. Mandiant upozorava i na obrazac: propust se prvo koristi uzdržano, protiv odabranih i ciljanih meta, a posle javne objave masovno. Pravi rizik je zato tek sada, za one koji krpe ručno, a to još nisu uradili. Kod nas mnoge firme IT prepuštaju spoljnim saradnicima koji ulaze baš ovakvim alatima, a retko pitaju čime su ti alati zaštićeni.
- Ako sam održavaš BeyondTrust Remote Support, primeni zakrpu BT26-05-RS na verzije do 26.2.3, a ako koristiš i Privileged Remote Access, zakrpi i njega
- Uređaj koji je od kraja avgusta radio sa ranjivom verzijom i bio dostupan sa interneta smatraj kompromitovanim dok se ne pregleda, kako preporučuje Mandiant
- Promeni sve lozinke i naloge koji su čuvani u uređaju ili su kroz njega prolazili, posebno administratorske
- Proveri da li tvoj spoljni IT saradnik ulazi ovakvim alatom i traži potvrdu da je zakrpljen i dostupan samo sa mreža kojima je zaista potreban