Během nedávné vlny phishingových a finančních útoků na průmyslové společnosti útočníci cílili nejen na finance, ale ukradli i projektové a operační plány nebo nákresy elektrických a informačních sítí. Vyplývá to ze zprávy Cyber Emergency Response týmu společnosti Kaspersky Lab zaměřeného na průmyslové řídicí systémy. Nyní tak vyvstává řada znepokojujících otázek ohledně budoucích záměrů těchto útočníků. Odcizené informace totiž nespadají do klasické taktiky kyberzločinců, jejichž primárním cílem je finanční obohacení.
Útoky typu Business Email Compromise (BEC), často spojované s nigerijskými kyberzločinci, se snaží získat přístup do firemních uživatelských účtů. Jejich prostřednictvím totiž lze monitorovat finanční transakce a případně je zachytit či přesměrovat. V říjnu 2016 zaznamenali odborníci Kaspersky Lab významný nárůst množství malwaru cílícího na společnosti z průmyslového odvětví. Zaznamenali více než 500 útoků v 50 zemích světa, které se zaměřovaly především na velké průmyslové korporace a významné transportní a logistické společnosti. Tyto útoky stále probíhají.
Průběh útoku
První fází útoku je precizně formulovaný phishingový e-mail, který se zdá být napsaný buď dodavatelem, zákazníkem, komerční společností nebo doručovatelskou službou. K samotnému útoku používají útočníci malware patřící přinejmenším k 8 různým Trojan-spy a backdoor rodinám, které jsou dostupné na černém trhu za poměrně nízké ceny. Tyto rodiny jsou navrženy tak, aby do infikovaných systémů nainstalovaly nástroje vzdálené správy, přičemž je jejich primárním účelem ukrást citlivá data.
Jakmile se zločinci dostanou do firemních počítačů, snaží se získat informace o lukrativních transakcích z firemní korespondence. Většinou pořizují screenshoty obrazovky nebo přesměrovávají zprávy do svých e-mailových schránek. Informace následně zneužijí při zachycení samotných plateb, přičemž do klasického útoku je zapojený lidský faktor. Útočník tak ručně zamění údaje účtu příjemce za své vlastní konto. Oběť si přitom této záměny nemusí všimnout až do chvíle, kdy je příliš pozdě a peníze jsou již odeslané.
Neznámá hrozba
Při analýze command-and-control serverů využitých v rámci letošních útoků odborníci zjistili, že útočníci pořizovali screenshoty i operačních a projektových plánů, technických nákresů nebo síťových schémat. Zajímavé navíc je, že tyto snímky nepořídili na počítačích projektových nebo obchodních manažerů, kteří se obvykle stávají jejich obětí, ale na zařízeních operátorů, projektantů, designérů a architektů.
„Doposud jsme nezaznamenali, že by se některá z těchto ukradených informací objevila na černém trhu. Není tedy zatím jasné, co kyberzločince k ukradení těchto informací vedlo. Mohla to být náhoda, nebo také krádež na objednávku. Oběti nigerijského phishingového útoku tak utrpěly nejen finanční ztrátu, ale tento útok pro ně může představovat i daleko vážnější hrozbu do budoucna,“ řekla Maria Garnaeva, Senior Security Researcher ve společnosti Kaspersky Lab.
Útočníci by tak nyní mohli získat přístup do počítačů, které jsou součástí firemního řídicího systému. Jakákoliv úprava nastavení v tomto prostředí by mohla mít dalekosáhlé následky.
Útočníci
Když se odborníkům podařilo získat adresy C&C z napadených složek, ukázalo se, že byly v některých případech tytéž servery použity pro různé rodiny malwaru. To může znamenat, že za útoky stojí jen jedna skupina kyberzločinců, která využívá různé druhy malwaru, nebo spolupracuje několik skupin, které navzájem sdílejí stejné zdroje.
Analytici také zjistili, že je většina domén registrovaných obyvateli Nigérie.
Jak minimalizovat riziko
Odborníci z Kaspersky Lab firmám doporučují implementovat následující základní bezpečnostní opatření:
- Proškolit zaměstnance o bezpečné e-mailové komunikaci – neklikat na podezřelé odkazy a přílohy a prověřit odesilatele zprávy. Zároveň by je měli pověření pracovníci pravidelně informovat o aktuálních nástrojích a tricích kyberzločinců.
- Vždy prověřovat žádosti o změnu údajů bankovního účtu nebo platebních metod, které se objeví v průběhu transakce.
- Nainstalovat bezpečnostní řešení na všechny pracovní počítače a servery. Zároveň provádět pravidelné aktualizace bez zbytečných odkladů.
- V případě infikování systému změnit hesla všech uživatelských účtů využívaných v tomto systému.
- Pokud vaše organizace využívá průmyslový řídicí systém, je dobré v něm nainstalovat speciální bezpečnostní řešení, které zajistí monitoring a analýzu veškeré síťové aktivity.
Více informací o této hrozbě a jak se jí bránit, naleznete v příspěvku na blogu Securelist.com.
Podrobnější informace o hrozbách, kterým čelí průmyslové řídicí systémy, naleznete na stránce ICS CERT.
O společnosti Kaspersky Lab
Kaspersky Lab je mezinárodní společností, která se zabývá kybernetickou bezpečností a v roce 2017 slaví 20 let od svého založení. Své rozsáhlé odborné znalosti kybernetických hrozeb využívá Kaspersky Lab při vytváření bezpečnostních řešení a služeb k ochraně podniků, kritické infrastruktury, vládních organizací a uživatelů po celém světě. Portfolio společnosti zahrnuje špičkové zabezpečení koncových bodů a specializovaná bezpečnostní řešení a služby sloužící k ochraně proti sofistikovaným a neustále se vyvíjejícím digitálním hrozbám. Technologie Kaspersky Lab chrání celosvětově více než 400 milionů uživatelů a 270 tisíc korporátních klientů. Více se dozvíte na www.kaspersky.cz.