L’attacco informatico al Comitato Nazionale Democratico, reso pubblico di recente, ha riportato alla ribalta una forma incredibilmente diffusa di furto di dati: le intrusioni che prendono di mira le e-mail. La reazione istintiva a tali violazioni spesso porta a proporre misure di controllo quali la crittografia dei messaggi e l’autenticazione a due fattori. In realtà, prevenire, individuare e reagire a questi attacchi è molto più complicato. Una rete aziendale media offre agli autori degli attacchi una miriade di opportunità per sottrarre messaggi di posta elettronica, sia che si tratti di un’azione altamente mirata che colpisce un numero limitato di utenti, sia che si tratti di un tentativo di raccogliere dati in massa nel corso del tempo.
Negli ultimi sette anni ho collaborato con numerose organizzazioni che hanno subito la perdita di e-mail riservate a seguito di attacchi mirati. In questo articolo del blog tratterò diverse tecniche comunemente utilizzate dagli autori degli attacchi, analizzerò l’impatto dell’autenticazione e della crittografia ed evidenzierò i modi in cui Tanium può aiutare Detect a contrastare e a reagire a tali metodi.
Ipotesi di base
Ai fini del presente articolo, formuleremo alcune ipotesi che ritengo siano “requisiti fondamentali” per qualsiasi intrusione mirata in un ambiente Windows . Innanzitutto, precisiamo che l’organizzazione vittima utilizza Microsoft Exchange, che rimane la piattaforma di posta elettronica aziendale più diffusa. Supponiamo inoltre che l’autore dell’attacco abbia già ottenuto l’accesso alla rete interna della vittima e possa quindi operare da almeno uno dei seguenti punti strategici:
- Accesso tramite browser a un server di webmail accessibile dall’esterno, come Outlook Web Access
- Un percorso verso i server interni di Exchange attraverso (1) sistemi già infettati da backdoor all’interno della stessa rete interna, oppure (2) una VPN compromessa o un’altra soluzione di accesso remoto
- Accesso tramite backdoor a una postazione di lavoro di un utente finale appartenente a una persona presa di mira, le cui e-mail sono oggetto di interesse
Infine, supporremo che l’autore dell’attacco sia riuscito a ottenere almeno uno dei seguenti tipi di credenziali:
- Un account Active Directory con privilegi appartenente a un amministratore di sistema ( Exchange ) o a un amministratore di dominio (Domain Administrator)
- Un account amministratore locale comune che può essere riutilizzato per il movimento laterale tra i PC delle vittime
- Un account di dominio senza privilegi appartenente a una persona presa di mira, le cui e-mail sono oggetto di interesse
Tenendo presente ciò, esaminiamo alcuni scenari comuni.
Gli autori degli attacchi prendono spesso di mira Outlook Web Access (OWA)
Gli autori degli attacchi prendono spesso di mira Outlook Web Access (OWA) durante la fase successiva alla compromissione di un’intrusione, ovvero dopo aver sottratto con successo le credenziali. È particolarmente facile accedere a OWA se non richiede l'autenticazione a due fattori o se non è protetto da una VPN che la richiede. Una volta che un account di dominio, o tutti gli account di dominio, sono stati sottratti, basta semplicemente effettuare l’accesso come un normale utente. Individuare questa attività su larga scala all’interno di una grande organizzazione multinazionale può rivelarsi complesso, soprattutto se si considera che l’autore dell’attacco può avvalersi di un accesso tramite browser da qualsiasi indirizzo di origine o attraverso qualsiasi punto di transito a sua disposizione.
Anche se il servizio di webmail è protetto da una VPN, potrebbe comunque essere esposto a un malintenzionato che sia riuscito a infiltrarsi nella rete interna. Gli autori degli attacchi verificano spesso se sia possibile accedere all’istanza della webmail accessibile internamente utilizzando le credenziali di dominio a autenticazione a fattore singolo. In tal caso, possono utilizzare un malware di tunneling per passare da un host già compromesso tramite backdoor e autenticarsi come l’utente di interesse.
La crittografia potrebbe essere d’aiuto?
Se l’organizzazione utilizza S/MIME con Outlook Web Access, per leggere le e-mail crittografate è possibile utilizzare esclusivamente Internet Explorer . Inoltre, la chiave privata necessaria per decriptare i messaggi deve essere installata nell'archivio dei certificati dell' endpoint locale. L'autore dell'attacco deve quindi ottenere l'accesso alla chiave privata dell'utente vittima oppure avvalersi di un accesso remoto al PC della vittima stessa per accedere alla posta elettronica a nome di quest'ultima. Nessuna delle due cose costituirebbe un ostacolo significativo in caso di compromissione dell’intero dominio.
Se l’organizzazione utilizzasse altri metodi di crittografia, come ad esempio PGP, l’autore dell’attacco dovrebbe, ancora una volta, recuperare le chiavi private e le frasi di accesso dal sistema dell’utente preso di mira. In caso di compromissione a livello di dominio, potrebbe risultare difficile impedire a un malintenzionato di accedere al sistema di un utente specifico. Tuttavia, ciò costringe l’autore dell’attacco a passare da un comportamento opportunistico (“Posso ottenere l’indirizzo e-mail di Adam da qualsiasi punto di accesso”) a un comportamento mirato (“Per prima cosa, devo compromettere il sistema di Adam…”).
È opportuno tenere presente che, quando utilizzano un servizio come la webmail, gli utenti tendono spesso a scegliere la via più semplice. Ciò comporta spesso lo scambio di messaggi non crittografati quando si utilizzano i propri computer o altri browser, offrendo così un’opportunità per un furto di dati più agevole, sebbene limitato a una cerchia più ristretta di messaggi e-mail.
Come ha potuto fare una cosa del genere l’ Tanium Detect ?
È ovvio che un’organizzazione non avrebbe alcuna visibilità su un account endpoint di proprietà di un malintenzionato, utilizzato per accedere direttamente a OWA tramite Internet utilizzando credenziali precedentemente sottratte. Ciò limita le fonti delle prove disponibili al traffico di rete e ai dati di log presenti sugli stessi server di posta. La centralizzazione degli eventi di autenticazione di Outlook Web Access in un sistema di registrazione degli eventi ( SIEM), insieme ai log del server web, può facilitare notevolmente le indagini a posteriori. A seconda dell'architettura di rete, potrebbe inoltre essere necessario correlare alcune fonti di dati per individuare il vero indirizzo IP di origine delle richieste di webmail in entrata.
Tanium fornisce un pacchetto Copy Tools in grado di raccogliere e distribuire automaticamente i log endpoint verso una postazione centralizzata per l’acquisizione e la post-elaborazione. In casi precedenti, ho collaborato con investigatori che sono riusciti a distinguere con successo gli accessi malevoli da quelli legittimi a OWA per un account compromesso, utilizzando gli user agent dei browser registrati nei log di accesso, insieme all’ora di accesso e agli indirizzi di provenienza.
Se l’autore dell’attacco accede alla webmail tramite un sistema interno compromesso, ciò fornisce molte più fonti di prove relative agli endpoint utilizzati per il “pivoting”. A seconda della modalità di accesso, Tanium mette a disposizione sensori in grado di individuare le voci del **Registro eventi di sicurezza** locale, la cronologia del browser e Trace i processi eseguiti , che includono il contesto utente relativo agli eventi storici. Ad esempio, un malintenzionato che utilizzi un’ Internet Explorer e tramite una backdoor sul sistema di un utente infetto potrebbe generare voci nella cronologia del browser all’interno del profilo di un contesto di sistema, anziché nel profilo utente del titolare stesso. Tali voci sono spesso talmente anomale da giustificare ulteriori approfondimenti.
Raccolta delle e-mail da un server Exchange tramite PowerShell
Considerate le origini di PowerShell nella gestione dei server Microsoft Exchange , non dovrebbe sorprendere il fatto che possa essere utilizzato per accedere alle caselle di posta degli utenti e per recuperare o inviare messaggi. Ho assistito a diverse intrusioni in cui gli autori degli attacchi hanno utilizzato script dannosi di tipo “ PowerShell ” per raccogliere indirizzi e-mail. Questo approccio richiede una dipendenza, ovvero la libreria Exchange Web Services (EWS)[1], che non è inclusa di default in PowerShell .
In pratica, l’utilizzo di EWS comporta semplicemente l’inclusione di una singola DLL, “Microsoft.Exchange.WebServices.dll”, insieme al codice PowerShell . Un utile post su Stack Overflow[2] illustra quanto sia semplice per uno script recuperare i messaggi in questo modo.
La crittografia potrebbe essere d’aiuto?
Se l’autore dell’attacco eseguisse lo script PowerShell dal sistema dell’utente preso di mira e nel contesto del suo account di dominio, avrebbe accesso alla chiave privata presente nell’archivio dei certificati Windows , necessaria per la decrittografia S/MIME. Come già osservato in precedenza, qualora venisse utilizzato un altro metodo di crittografia, come ad esempio PGP, l’autore dell’attacco dovrebbe compiere ulteriori passaggi per recuperare la chiave e la passphrase necessarie per visualizzare i messaggi recuperati.
Come ha potuto fare una cosa del genere l’ Tanium Detect ?
Tanium Trace registra costantemente l'attività di connessione alla rete, insieme al processo associato e al contesto dell'utente. Uno dei nostri dashboard di monitoraggio utilizza il sensore Trace Network Connections per fornire una visione filtrata di tutte le istanze di PowerShell che hanno stabilito connessioni alle porte 80 e 443. Ad eccezione degli amministratori di Exchange , tale utilizzo di PowerShell risulterebbe anomalo sulla maggior parte dei sistemi degli utenti finali o su altri tipi di server. I nostri clienti utilizzano solitamente la funzionalità “Computer Groups” di Tanium, in combinazione con questo tipo di dashboard di monitoraggio, per individuare questo genere di attività dannose con maggiore precisione.
Un altro approccio consisterebbe nel verificare la presenza o l’utilizzo della libreria “Microsoft.Exchange.WebServices.dll” sugli endpoint. Tanium Gli utenti possono eseguire i comandi , , Index Query,e per effettuare una ricerca in pochi secondi nell'intero disco rigido di tutti i sistemi alla ricerca di questa libreria in base al nome o all'hash. Inoltre, i sensori Loaded Modules consentono di identificare tutti i sistemi che hanno caricato questa libreria in memoria. Ancora una volta, i gruppi di informatica possono fornire ulteriori spunti per distinguere l’uso previsto da quello imprevisto di questa libreria.
Strumenti dell'Interfaccia di programmazione delle applicazioni di messaggistica (MAPI)
MAPI/RPC è il protocollo standard utilizzato da Outlook per supportare i server di posta elettronica ( Exchange ). Poiché è documentato e disponibile tramite una serie di API, altre applicazioni Windows possono avvalersene. Ad esempio, “MAPIGET.EXE”, una delle utility evidenziate nel rapporto n. 2010 di Mandiant relativo al n. APT1, si connette ai server Exchange tramite MAPI e credenziali NTLM rubate per sottrarre i messaggi e gli allegati di un account specifico. Nei sistemi su cui è installato Outlook, anche i linguaggi di scripting quali VBS e VBA possono avvalersi del suo spazio dei nomi MAPI per interagire con la posta in arrivo e recuperare le e-mail, sebbene siano soggetti a limitazioni che possono variare a seconda della versione di Outlook installata e delle relative impostazioni.
Dal punto di vista del monitoraggio della rete, si noti che l’utilizzo di RPC da parte di MAPI comporta che i client si connettano ai server Exchange utilizzando un’ampia gamma di porte con numeri elevati, anziché una singola porta di servizio fissa. Se Exchange è configurato con la funzionalità “Outlook Anywhere”, i client possono connettersi tramite RPC su HTTPs alla porta 443.
La crittografia potrebbe essere d’aiuto?
Molti strumenti basati su MAPI recuperano semplicemente i messaggi crittografati con S/MIME come allegato “smime.p7m” ”. Come già osservato negli altri nostri scenari, se l’autore dell’attacco opera sul server endpoint dell’utente vittima e dispone di privilegi sufficienti, può accedere all’archivio dei certificati Windows .
Come ha potuto fare una cosa del genere l’ Tanium Detect ?
Fondata nel Connections e Trace Network Connections : i sensori sono in grado di generare output cumulabili che consentono agli analisti di confrontare immediatamente il nome, il percorso e l’hash di qualsiasi processo che si connetta agli indirizzi dei server Exchange e agli intervalli di porte. Gli analisti possono approfondire ulteriormente l'analisi tramite , , Trace, Executed Processes,e per ottenere le righe di comando e la genealogia di eventuali eventi sospetti. Il monitoraggio di questi dati può consentire a un’organizzazione di individuare applicazioni non autorizzate che tentano di comunicare con l’infrastruttura dei server di posta elettronica.
Furto di file di posta e di archivio di Outlook locale
Quasi tutti gli utenti di Outlook conoscono bene le funzionalità di lavoro offline e di archiviazione delle caselle di posta dell’applicazione. Dal punto di vista di un malintenzionato, questi file sono simili a qualsiasi altro file presente sull’ endpoint : possono essere copiati, archiviati e trasferiti utilizzando i comandi nativi del sistema operativo oppure ricorrendo a funzionalità comuni a molte backdoor. Due fattori limitanti potrebbero essere la dimensione di tali file e il fatto che l’utente abbia scelto o meno di proteggerli con una password.
La crittografia potrebbe essere d’aiuto?
Se avete letto fino a questo punto, probabilmente avete già intuito la risposta. Se l’autore dell’attacco ha accesso agli archivi di Outlook della vittima sul proprio PC, probabilmente potrà accedere a qualsiasi elemento contenuto nell’archivio delle credenziali di Windows oppure utilizzare tecniche di keylogging o di altro tipo per recuperare altre credenziali.
Come ha potuto fare una cosa del genere l’ Tanium Detect ?
Il sensore Trace File Operations può essere utilizzato per creare una ricerca filtrata o un dashboard che monitori la creazione o la modifica dei file delle caselle di posta di Outlook in posizioni atipiche o da parte di processi anomali. Allo stesso modo, i sensori di Tanium ( ), , Index Querye consentono di individuare i file delle caselle di posta inattivi in tutta l’azienda.
Registrazione dei tasti premuti e screen scraping
Qualsiasi malware in esecuzione in un contesto con privilegi sufficienti su un sistema infetto è in grado di registrare tutti i tasti digitati e di acquisire periodicamente il contenuto delle finestre o dell’intero schermo. Molti di questi strumenti possono essere configurati in modo da acquisire solo i dati che corrispondono a modelli definiti dall’autore dell’attacco oppure provenienti da applicazioni specifiche o dai titoli delle finestre. Il contenuto di qualsiasi e-mail visualizzata dall'utente finale potrebbe essere divulgato in questo modo. Naturalmente, questo approccio non è ideale se l’autore dell’attacco intende raccogliere rapidamente un grande volume di e-mail, e presenta dei limiti di portata: il sistema di ciascuna vittima deve essere infettato e, nel corso del tempo, il malware potrebbe acquisire una quantità significativa di dati non pertinenti.
La crittografia potrebbe essere d’aiuto?
No. Se appare sullo schermo o è scritto, è visibile.
Come ha potuto fare una cosa del genere l’ Tanium Detect ?
Esistono innumerevoli modi per implementare backdoor, keylogger, strumenti di cattura dello schermo e scraper, nonché altri tipi di malware correlati; pertanto, non esiste un’unica tecnica in grado di Detect tutto. Tuttavia, ho spesso constatato che l’analisi dei meccanismi di persistenza rappresenta un modo efficace per affrontare il minimo comune denominatore di tale malware. Se l’autore dell’attacco intende raccogliere dati da un dispositivo endpoint nel corso del tempo, il suo malware deve sopravvivere al riavvio.
Molti clienti di Tanium utilizzano i nostri sensori relativi alla persistenza, quali , , Dettagli sul programma di esecuzione automatica, , , Trace, Driver caricati, , , Ricerca sul dirottamento dell’ordine di caricamento delle DLL, , , Dettagli sul modulo di servizio e , , Consumatori di eventi WMI, fino a Detect , per individuare file binari e script sospetti in tutta l’azienda.
Una volta che un investigatore ha identificato un malware che registra i tasti digitati o acquisisce schermate, potrebbe anche stabilire che esso utilizza una convenzione di denominazione dei file di output coerente. Il sensore “ ” Trace File Operations consente di identificare le operazioni sui file storiche che corrispondono a un determinato nome o formato di percorso; i sensori “ ” Index Query consentono analogamente di individuare i file inattivi che corrispondono a un modello – o persino a una sequenza di byte di intestazione – in qualsiasi punto del disco.
Altri metodi e considerazioni finali
Questo articolo offre solo una panoramica sommaria dei modi in cui gli autori degli attacchi possono sottrarre messaggi e-mail dal computer di una vittima o da una rete aziendale compromessa. Tra le tecniche aggiuntive figurano:
- Configurazione di Exchange per inoltrare in modo nascosto le e-mail di un utente a un indirizzo di terze parti
- Gli utenti reindirizzano intenzionalmente la propria posta a un indirizzo e-mail personale che viene successivamente compromesso
- Framework per l’exploit dei browser, quali BEEF[3], in grado di monitorare in modo occulto l’attività della webmail e altri dati presenti nel browser.
- Riguarda il software interno utilizzato per l’archiviazione interna delle e-mail (ad esempio, a supporto di contenziosi e verifiche contabili)
- Indurre con l'inganno le vittime a utilizzare un'applicazione mobile dannosa che si spaccia per un client di posta elettronica legittimo
- … e innumerevoli altri ancora …
Garantire la sicurezza della posta elettronica aziendale, come per qualsiasi altra risorsa, richiede un’attenta analisi delle minacce. Si tenga presente che gli autori degli attacchi tendono in genere a seguire la via che presenta minore resistenza per raggiungere i propri obiettivi; pertanto, non tutte le vie di attacco costituiscono necessariamente un vettore probabile o praticabile che richieda un investimento equivalente in contromisure.
In una tipica rete “ Windows ” a struttura piatta, le violazioni localizzate su un numero limitato di sistemi possono rapidamente trasformarsi in una violazione più grave a livello di dominio; d’altra parte, infettare singoli utenti di interesse può essere “sufficiente” per un intruso interessato a una gamma più ristretta di dati. Allo stesso modo, la crittografia dei messaggi non rappresenta una panacea per tutti questi vettori di attacco. Tuttavia, ciò può costringere un aggressore a operare attraverso un insieme più ristretto di sistemi delle vittime, anziché facilitare l’accesso opportunistico ai messaggi di qualsiasi account da qualsiasi punto di appoggio sulla rete.
La varietà delle tecniche disponibili per sottrarre messaggi di posta elettronica è sbalorditiva, e non sono solo gli obiettivi di grande visibilità a trovarsi di fronte a questa minaccia. Una visibilità completa su endpoint per individuare Detect e contrastarli rappresenta il modo migliore per garantire la sicurezza delle vostre e-mail.
[1] https://github.com/officedev/ews-managed-api
[2] http://stackoverflow.com/questions/4454165/how-to-check-an-exchange-mailbox-via-powershell
[3] http://null-byte.wonderhowto.com/how-to/hack-like-pro-hack-web-browsers-with-beef-0159961/
Informazioni sull’autore: Nel suo ruolo di Chief Security Architect presso Tanium , Ryan Kazanciyan vanta oltre 14 anni di esperienza nei settori della risposta agli incidenti, dell’analisi forense e dei test di penetrazione. Ryan supervisiona la progettazione e la roadmap delle soluzioni " Threat Response " di Tanium e dirige il team "Endpoint Detection and Response" (EDR) di Tanium . Prima di entrare a far parte di Tanium, Ryan ha coordinato le attività di indagine e risoluzione dei problemi presso Mandiant , collaborando con decine di organizzazioni incluse nella classifica Fortune 500 che erano state oggetto di attacchi mirati. Ryan ha formato centinaia di esperti nella gestione degli incidenti in qualità di istruttore per Black Hat e per la squadra informatica dell’FBI. È uno degli autori del volume “Incident Response and Computer Forensics, 3ª edizione” (McGraw-Hill, 2014). Ryan lavora inoltre come consulente tecnico per la serie televisiva “Mr. Robot”, dove collabora con gli sceneggiatori e il team di produzione per ideare gli attacchi informatici rappresentati nella serie.
