Polityka, komercja i niekompetencja, czyli echa ataku na polskie banki

dodał 17 lutego 2017 o 08:14 w kategorii Info  z tagami: • • • • • • • •
Polityka, komercja i niekompetencja, czyli echa ataku na polskie banki

Ujawniony przez nas prawie dwa tygodnie temu najpoważniejszy udokumentowany atak na polski sektor finansowy potwierdził, że sytuacje kryzysowe najlepiej pokazują prawdziwe oblicza ludzi oraz instytucji. Oblicza nie zawsze piękne i idealne.

Prawie dwa tygodnie temu poinformowaliśmy o tym, że kilka polskich banków padło ofiarami sprytnych włamywaczy. Ten pierwszy (wg naszej wiedzy) ujawniony przypadek tak poważnego ataku na polski sektor finansowy i to, co działo się od 25 stycznia, kiedy to pojawiły się pierwsze informacje o ataku, do dzisiaj, naszym zdaniem stanowi dobrą i warta opisania diagnozę całego środowiska. Część refleksji jest smutna, częśc pozytywna. Zapraszamy także do podzielenia się Waszymi przemyśleniami.

Przepływ informacji

Obieg informacji w tej sprawie to temat – rzeka – i bynajmniej nie dlatego, ze informacje jak rzeka płynęły – ich obieg bardziej przypominał pięciolatka biegającego z sikawką w śmigus dyngus i polewającego małymi strumieniami wody z góry upatrzone osoby. Początek był obiecujący. Pierwszy bank, który potwierdził infekcję, natychmiast postanowił podzielić się informacjami. Nie chciał robić tego pod własnym szyldem, więc użył pośredników. System zadziałał i informacja trafiła do wielu zainteresowanych. W ciągu kilkudziesięciu godzin (prawie) całe środowisko bankowe zaczęło szukać śladów infekcji i część je znalazła. Informacje o incydencie trafiły też do podmiotów świadczących komercyjne usługi bezpieczeństwa dla banków – lecz nie wszystkie wyraziły chęć zajęcia się problemem, dopóki nie potwierdzą, że dotyczy to ich klientów.

Powstała sytuacja, w której mniej więcej wiadomo już było, że jest źle. Wiadomo, że mamy pierwsze elementy informacji pozwalające na wykrycie infekcji, lecz brak głębszej wiedzy o tym, co jeszcze potrafi złośliwe oprogramowanie, jakie tworzy pliki, z jakimi rozmawia serwerami i gdzie go szukać na dyskach i w pamięci komputerów. Niestety polskie firmy i organizacje, które potrafią szybko i samodzielnie przeprowadzić szczegółową analizę złośliwego oprogramowania, można policzyć na palcach dwóch rąk i wszystkie z nich świadczą w mniejszym lub wiekszym zakresie komercyjne usługi bankom (lub są to komórki w samych bankach) – zatem ze sobą wprost konkurują. To spowodowało, że w sprawach analizy każdy skrobał swoją rzepkę i wyniki skrzętnie zamiatał do swojej szafeczki (ewentualnie dzielił się z klientem). Do tego wesołego korowodu dołączyły firmy spoza Polski, które każda w swoim labie dłubała w tym, co potrafiła znaleźć.

Na szczęście dla tych podmiotów, które nie posiadają własnych możliwości analizy (a jest to, co smutne, większość banków) jeden z banków szybko podzielił się cennymi uwagami, przyspieszając proces przeglądu sieci. Gdyby nie decyzja tego jednego podmiotu, sporo organizacji do tej pory błąkało by się w ciemnościach lub biegło do dostawców. Ten ruch uruchomił mały strumyk informacji – niektórzy dostawcy dołączyli, dołączyły też inne banki i na wewnątrzbankowej liście SWOZ (System Wymiany Ostrzeżeń o Zagrożeniach) pojawiło się kilka zestawów przydatnych informacji. Gdy już wydawało się, że dzięki temu incydentowi lista odżyje i będzie bardziej wartościowym źródłem informacji o faktycznych zagrożeniach, część informacji na niej opublikowanych tylko do użytku wewnętrznego trafiła do internetu, dzięki czemu autorzy wartościowych postów obiecali, że już nigdy tego błędu nie popełnią. Smutne.

Instytucje

Problem obiegu informacji o zagrożeniach nie jest nowy i ten incydent wcale nie musiał go uwypuklić (chociaż i tak to zrobił). Aby między innymi te zagadnienia rozwiązać powołano do życia co najmniej dwa organizmy: Bankowe Centrum Cyberbezpieczeństwa oraz Narodowe Centrum Cyberbezpieczeństwa. Oba mają za sobą kilka miesięcy funkcjonowania, lecz według naszej wiedzy w obsłudze tego incydentu nie odegrały żadnej roli (z wyłączeniem zespołu CERT Polska, który, choć formalnie wcielony do NC Cyber, działa dosyć niezależnie). Być może po prostu BCC i NC Cyber potrzebują ludzi i jeszcze więcej czasu by zacząć pełnić swoją rolę. Z drugiej strony, NC Cyber i Ministerstwo Cyfryzacji zajmowały się dosyć intensywnie stworzeniem strategii zapewniającej Polsce cyberbezpieczeństwo. Niestety strategia bardziej skupiała się na zagrożeniach płynących z zainfekowanych komputerów użytkowników w kierunku stron rządowych, kopiach bezpieczeństwa, enigmatycznych klastrach i na atakach typu DDoS, a nie na zagrożeniach którym poświęcony był ten artykuł. Wynika z tego zatem, że nie możemy obecnie liczyć na niczyją pomoc. Jaki zatem organ państwa ma działać w przypadku ataków na infrastrukturę krytyczną?

Niektórzy wskazują tutaj na ABW i zespół CERT.GOV.PL jako te, które powinny zająć się tak poważnym tematem. Według naszych informacji niestety tak nie będzie – ABW nie spieszy się do przejęcia śledztwa, a wręcz zabiega o to, by trafiło ono na dużo niższy szczebel. Dlaczego? Niektórzy wskazują na brak kompetencji technicznych połączony z brakiem woli politycznej – w tej sprawie ryzyko porażki (czyli umorzenia z powodu niewykrycia sprawców) jest zbyt wysokie, by ustawiła się kolejka chętnych po ordery. Wygląda zatem na to, że Polska nie ma dzisiaj instytucji mogącej przejąć pałeczkę dowodzenia w sprawach cyberataków, nawet o potencjalnie bardzo poważnych konsekwencjach.

Czy ktoś wiedział, nie powiedział

Spójrzmy na informacje wskazujące na to, że ataki można było odkryć w zasadzie zaraz po ich rozpoczęciu, czyli 4 miesiące wcześniej, niż faktycznie miało to miejsce:

  • 2016-10-07 – service PassiveTotal rejestruje informację o obecności wstrzykniętego obcego skryptu na stronie knf.gov.pl,
  • 2016-10-07 – plik cambio.xap, zawierający użyty w kampanii exploit na Silverlighta, ląduje w serwisie VirusTotal,
  • 2016-10-24 – plik służący do rozpoznania infekowanej stacji kojarzony z tą kampanią ląduje w serwisie VirusTotal,
  • 2016-10 ( nie znamy precyzyjnej daty) – KNF otrzymuje ostrzeżenie o złośliwym kodzie na stronie,
  • 2016-12-07 – plik cambio.swf, zawierający użyte w kampanii exploity na Flasha, ląduje w serwisie VirusTotal,
  • 2017-01-06 – próbka złośliwego oprogramowania kojarzona z tą kampanią trafia do serwisu Hybrid Analysis,
  • gdzieś między październikiem a styczniem system wykrywania zagrożeń w jednym z banków raportuje alert po wizycie na stronie KNF,
  • pod koniec stycznia niektóre adresy domenowe aktywne w ramach tej kampanii były już na listach blokowanych adresów u niektórych dostawców.

Ataki trwały od października 2016. Ostrzeżenia były, lecz zostały zignorowane lub nie były potraktowane wystarczająco powaznie. Przynajmniej kilka osób wiedziało o infekcji witryny www.knf.gov.pl w październiku 2016, lecz nie potrafiło infekcji usunąć ani ostrzec o niej banki. Na wizyty na witrynie KNF zareagowały systemy wczesnego ostrzegania o zagrożeniach, wysłały nawet alerty do zespołu SOC. Alerty, które zostały zignorowane, ponieważ systemy nie nadały im dużej wagi, a alertów są setki dziennie. Niektóre systemy blokowały próby infekcji – lecz znowu, nikt nie skojarzył, że ma do czynienia z zagrożeniem dla całego sektora i nie eskalował problemu. Co więcej, wyżej wymienione poszlaki wskazują, że ataki ktoś badał już w październiku. Jest całkiem prawdopodobne, że informacje o atakach były dostępne już wcześniej – lecz nikt z nich nie skorzystał, by wykryć napastników w swojej sieci. Dlaczego?

Zablokowanie tysięcy ataków i wygenerowanie tysięcy alertów dziennie nie jest żadnym problemem – wystarczy kupić kilka odpowiednich pudełek. Sztuka polega na tym, by z tego morza incydentów móc wyłowić te, które są ważne. To wymaga głębokiego zrozumienia technik, taktyki i procedur atakujących oraz przeglądu wszystkich wcześniej obserwowanych ataków na dany sektor i jego okolice. Dopiero analiza tego, co się wydarzyło i tego, czy jest się na to dzisiaj przygotowanym, może pomóc w zaprojektowaniu odpowiednich mechanizmów obronnych i wykryciu nowych ataków. Tego nie zapewni żadne pudełko – niezbędny jest tu spory wysiłek ludzi, którzy analizę przeprowadzą i do realiów danej instytucji ją zmapują. Rzadko gdzie taki proces zachodzi – nawet jeśli spojrzymy na całkiem dojrzały jak na polskie warunki sektor bankowy.

Jak zatem niektóre banki uniknęły włamania? Rozmawialiśmy z kilkoma, które się obroniły i ślady ataków znalazły w logach. Co ciekawe, niektóre osoby odpowiedzialne w tych bankach za obronę nie potrafiły powiedzieć, dlaczego przestępcom nie udało się włamać. Czy były to magiczne pudełka na styku z internetem? Czy może dobrze zabezpieczone stacje robocze? A może po prostu okazali się celem twardszym od sąsiadów i atakujący nie tracił na nich czasu? Najczęściej w opowieściach przewijał się wątek ochrony punktu styku (i to najlepiej ochrony wielowarstwowej) oraz drakońskich ograniczeń na stacjach roboczych użytkowników. Był też przypadek banku, w którym stacje uzytkowników były tak dobrze chronione, ze atakujący dostali się dopiero na stację jednego z administratorów sieci, gdzie polityki były łagodniejsze. Wygląda zatem na to, że przed atakiem mozna się było obronić – lecz nie dzięki stosowi pudełek produkujących alerty, a raczej przemyślanej strategii obrony całej infrastruktury.

Dużo gorzej niestety wygląda odpowiedź na pytanie dlaczego ataku wcześniej nie wykryto. Dokładnie rzecz biorąc źle wygląda brak odpowiedzi. Na ten element analizy pewnie jeszcze przyjdzie czas. Już dzisiaj jednak widać, że w obszarze Threat Intelligence sporo jest w bankach do zrobienia.

Uwagi końcowe

Co zadziałało:

  • systemy ostrzegania,
  • nieformalne relacje między poszczególnymi firmami i instytucjami,
  • współpraca pracowników niższego szczebla.

Co nie zadziałało:

  • reagowanie na alerty z systemów ostrzegania,
  • instytucje państwowe,
  • ciała i relacje formalne.

Dodatkowo pod koniec stycznia, gdy sektor bankowy i dostawcy z niego żyjący zrozumieli, z jaką skalą ataku mają do czynienia, zaobserwowaliśmy ciekawe zjawisko. Nagle okazało się, że wszyscy nas kochają, a najbardziej kochają próbki złośliwego oprogramowania, którymi dysponowaliśmy. Kochali także wskaźniki infekcji, wyniki już przeprowadzonych analiz i wszelkie informacje pozwalające lepiej zrozumieć i opisać atak. Niektórym zaufanym podmiotom udzieliliśmy niektórych informacji a w zamian otrzymaliśmy obietnice, że podzielą się ze swojej strony wszystkim, co tylko na podstawie tych informacji wytworzą. Jak możecie pewnie bez trudu zgadnąć, spora część obietnic okazała się całkiem bez pokrycia. Na szczęście tego rodzaju błąd popełnia się z reguły raz w życiu i też się czegoś nauczyliśmy. Wiemy też o sprzedawcach, którzy krążą obecnie ze swoimi pudełkami po bankach i pokazują, jak dzisiaj cudownie łapią próbki z tej infekcji. Zapytajcie ich, które próbki złapali do 25 stycznia 2017.

Przy tej okazji dziękujemy tym, którzy obietnic dotrzymali – to w oparciu o takie relacje można zbudować sprawny system obiegu informacji. Dziękujemy też wszystkim, którzy po cichu dokładają swoje cegiełki do walki z zagrożeniem. Mamy nadzieję, że ten poważny incydent pozwolił Wam zweryfikować niektóre twierdzenia dostawców, przetestować zakurzone pudełka a także uzyskać błogosławieństwo na wprowadzenie koniecznych zmian i budżety na ich realizację.

Podobne wpisy