Mój dyrektor finansowy otrzymał wiadomość e-mail od dyrektora instytucji finansowej z informacją, że cały ruch (przychodzący i wychodzący) z określonych adresów IP powinien być blokowany na zaporze. Dyrektorowi instytucji finansowej doradził dział IT, aby wysłał tę wiadomość. Lista adresów (około 40) znajdowała się w załączonym, chronionym hasłem pliku PDF. Hasło zostało wysłane do mojego dyrektora finansowego SMS-em.
Jedyną częścią, która wydaje mi się dziwna, jest to, że C F O jest w to w ogóle zaangażowany . CTO (lub podwładni) rutynowo zajmują się cyberwywiadem i wymianą informacji między instytucjami i krajowymi agencjami wywiadowczymi (FBI, CERT itp.).
Początkowo myślałem, że to złośliwa próba nakłonienia naszego dyrektora finansowego do otworzyć zainfekowany plik PDF lub próbę phishingu / wielorybnictwa, ale wydaje się, że jest to uzasadnione. Rozmawialiśmy z działem IT w FI i mówią, że jest autentyczny, ale nie mogą (nie chcą) podać więcej informacji. Ze względu na charakter relacji między moją firmą a pośrednikiem, odmowa nie wchodzi w grę. Z tego, co widzę, większość adresów IP wydaje się należeć do firm technologicznych.
Twoja staranność jest warta braw; to jest prawdopodobny wektor.
Nie określasz, czym są te „firmy technologiczne”, ale jeśli są to takie rzeczy jak AWS, DigitalOcean, Linode, Vultr, Choopa, Hetzner, OVH, Velia i in. wtedy powinieneś wiedzieć, że te firmy technologiczne (i wiele innych mniejszych, w tym seedboxy torrentów) są rutynowo zamieszane w botnety, złośliwe oprogramowanie i oszustwa finansowe. Wszystko, co oferuje hosting współdzielony lub usługi VPS, jest możliwą platformą do przeprowadzania ataków. Mogę powiedzieć z bezpośredniego doświadczenia, że wiele z HSA, W2, oszustw podatkowych i innych oszustw dziennikarzy, takich jak Krebs, jest uruchamianych z tanich usług VPS, takich jak te.
Czy takie podejście cię uderza jako podejrzane? Czy zachodzi tu inżynieria społeczna?
Informacje o bieżących incydentach można udostępniać formalnie (poprzez publikację na listach mailingowych US-CERT, wśród instytucji w DIBNET, FS-ISAC itp.) lub za pośrednictwem dziwnych schematów udostępniania plików PDF między kierownictwem, nieujawniana, niepowiązana wskazówka FBI. Zdarza się.
Kiedy źródłem jest FBI, zazwyczaj nie podają one żadnych szczegółów ani kontekstu, więc potrząsanie drzewem i odmowa podjęcia działań bez dalszych informacji mogą nie zostać dobrze odebrane przez przełożonych. Trzymaj się dalej, a skończysz jak łobuz w Equifax, który opóźnił łatanie Strutsa przed włamaniem; był pierwszą osobą, która została wrzucona pod autobus. Najwyraźniej masz umowę biznesową zobowiązującą do wdrożenia niektórych blokad IP na podstawie otrzymanych informacji o zagrożeniach. Po prostu zrób to.
Ponownie, jedyną podejrzaną częścią jest to, że odbiorcą był dyrektor finansowy. Ale może to być spowodowane naturą istniejącej relacji między nim a tym dyrektorem.
Jest całkowicie możliwe, że ktoś próbuje wywołać chaos, blokując adresy IP firm, z którymi prowadzisz interesy, ale to wydaje się naciągany - wymaga dużej wiedzy wewnętrznej i wysiłku, aby dokonać niewielkiej przerwy w najgorszym przypadku.
Jaka może być natura zagrożenia?
Dyrektor instytucji finansowej X został powiadomiony o incydencie. Prawdopodobnie zostały przejęte przez co najmniej jeden z tych 40 adresów IP lub zostały poinformowane o zagrożeniu z zewnętrznego źródła. Być może zauważyli dowody na to, że Twoja firma również może być potencjalnym celem, czy to poprzez poświadczenia, których próbowali użyć, żądane punkty końcowe lub dane eksfiltrowane. Uznali za stosowne udostępnienie tych informacji Twojej firmie, abyś mógł podjąć aktywne działania.
Między tobą a mną, nie przejmuję się tym scenariuszem. Właśnie takie rzeczy przychodzą do mojej skrzynki pocztowej w każdy poniedziałek (a zwłaszcza w dni po świętach państwowych - zagraniczni napastnicy uwielbiają czekać, aż dowiedzą się, że nikt nie będzie w biurze przez kilka dni. tydzień ...).
To, co osobiście robię z tymi listami przed wdrożeniem bloków, to przeglądanie ich w naszych własnych dziennikach i sprawdzanie, jakie działania podejmowali ci sami aktorzy w naszych systemach. Poszukaj aktywności wszystkich adresów IP w tych samych podsieciach; podane adresy IP mogły nie być tymi samymi, które mogły być już skierowane do Ciebie. Czasami odkrywa dowody kompromisu, które nie były objęte zakresem dostarczonej informacji.