Արհեստական բանականության վրա հիմնված գործիքները, որոնք ստեղծվել են կիբեռանվտանգության ավտոմատացված թեստավորման համար, չարագործներն ավելի ու ավելի հաճախ են կիրառում իրական հարձակումների ժամանակ։ Նման հարթակներից մեկը՝ AntiFox-ը, կապվել է ընկերությունների վեբ համակարգեր ներթափանցելու, նույնականացման տվյալներ գողանալու և Amazon Web Services-ի (AWS) ամպային ենթակառուցվածքում գաղտնի տեղեկատվության հասանելիություն ստանալու հետ։ Այս մասին հայտնում է The Hacker News-ը՝ հղում անելով Arctic Wolf Labs-ի մասնագետների հետազոտությանը։

Հետազոտողների տվյալներով՝ հայտնաբերված մի շարք միջադեպերում Alibaba Cloud-ի սերվերները, որոնց վրա տեղակայված էին AntiFox-ի միջերեսները, օգտագործվել են համացանցից հասանելի վեբ ծառայությունների և դրանց հետ կապված AWS միջավայրերի վրա հարձակումների համար։ Չարագործները համատեղել են վեբ հավելվածների խոցելիությունների շահագործումը վեբ հրամանային թաղանթների տեղադրման հետ, որոնք թույլ էին տալիս հրամաններ կատարել վտանգված սերվերներում, ուսումնասիրել համակարգերի կազմաձևերը և կորզել նույնականացման տվյալներ։

AntiFox-ը GitHub-ում հասանելի՝ ներթափանցման ինքնավար թեստավորման հարթակ է, որը կառուցված է ARTEX նախագծի հիման վրա։ Այն օգտագործում է ԱԲ գործակալների համակարգ, որոնք կարող են ինքնուրույն անցնել ստուգման հիմնական փուլերը՝ հետախուզությունից և խոցելիությունների որոնումից մինչև դրանց շահագործումն ու հաշվետվության պատրաստումը։ Մշակողները գործիքը ներկայացնում են որպես լուծում, որն ունակ է ոչ միայն հայտնաբերելու անվտանգության խնդիրները, այլև փաստագրելու արդյունքներն այնպես, որ ինժեներները կարողանան վերարտադրել հայտնաբերված խոցելիությունները։

Ինչպես էին չարագործները հասանելիություն ստանում տվյալներին

Arctic Wolf-ի նկարագրած սցենարներից մեկում սկզբնական ներթափանցումը տեղի է ունեցել Microsoft IIS սերվերում գործող խոցելի վեբ հավելվածի միջոցով։ Դրանից հետո հարձակվողները ստեղծել են ASPX ձևաչափով վեբ հրամանային թաղանթ՝ օգտագործելով IIS-ի վեբ հավելվածները սպասարկող w3wp.exe գործընթացը։

Ստանալով սերվերում հրամաններ կատարելու հնարավորություն՝ չարագործները որոնել են կազմաձևման ֆայլերն ու դրանց պահուստային պատճենները, ուսումնասիրել հավելվածների կարգավորումներն ու տվյալների շտեմարաններին միանալու տողերը, ստուգել սխալների մատյանները և փորձել հայտնաբերված նույնականացման տվյալներով միանալ ներքին արտադրական տվյալների շտեմարանին։ Կազմաձևման ֆայլերն ու մատյանները նաև պատճենվել են համացանցից հասանելի պանակում։

Հետազոտողները նշում են, որ IIS սերվերում կոդի կատարումը հնարավոր դարձրած կոնկրետ խոցելիությունը դեռ չի պարզվել։ Այլ դեպքերում հարձակումները սկսվել են AWS-ի արդեն գործող նույնականացման տվյալների օգտագործմամբ, որոնց ծագումը նույնպես չի հաջողվել պարզել։

Օգտագործելով այդ տվյալները՝ չարագործները ստուգել են հասանելիության իրավունքները և ուսումնասիրել Amazon-ի տասնյակ ծառայություններ, այդ թվում՝ IAM, EC2, S3, Lambda, Secrets Manager, KMS և RDS։ Հարցումների մեծ մասն ավարտվել է հասանելիության մերժմամբ, սակայն որոշ գործողություններ հաջողվել են։ Առնվազն մի քանի դեպքերում հարձակվողները կարողացել են AWS Secrets Manager-ի միջոցով ստանալ արտադրական միջավայրի գաղտնի տվյալների բովանդակությունը։ Այլ դրվագներում նրանք օգտագործել են գործող օգտահաշիվներ՝ S3 պահոցում օբյեկտներ որոնելու և գործողություններ կատարելու համար։

AWS-ի ներկայացուցիչը, մեկնաբանելով The Hacker News-ի հրապարակումը, հայտարարել է, որ ընկերության ծառայությունները չեն վտանգվել և աշխատել են բնականոն ռեժիմով։ Նրա խոսքով՝ նկարագրված միջադեպերը կապված են չարագործների կողմից հաճախորդների նույնականացման տվյալների օգտագործման հետ, որոնք գողացվել են վտանգված հավելվածներից։ AWS-ը հաճախորդներին խորհուրդ է տվել սահմանափակել հասանելիության իրավունքները, հավելվածների կազմաձևերում չպահել երկարաժամկետ բանալիներ և օգտագործել անվտանգության մշտադիտարկման գործիքներ, մասնավորապես՝ Amazon GuardDuty։

ԱԲ գործակալներն արագացնում են կիբեռհարձակումներն ու ընդլայնում դրանց ծավալը

AntiFox-ի հետ կապված դեպքերը տեղավորվում են կիբեռհարձակումներ իրականացնելու համար ինքնավար ԱԲ գործիքների օգտագործման ավելի լայն միտման շրջանակում։ Նման համակարգերն ունակ են ինքնուրույն կատարել գործողությունների հաջորդականություն, որը նախկինում պահանջում էր մասնագետի մշտական մասնակցությունը՝ որոնել խոցելի սերվերներ, ստուգել հայտնաբերված նույնականացման տվյալները, ուսումնասիրել ենթակառուցվածքը և մեկ վտանգված ռեսուրսից անցնել մյուսին։

The Hacker News-ը բերում է նաև այլ օրինակներ։ Մասնավորապես, Check Point-ի հետազոտողները հայտնաբերել են ավելի քան 2,5 հազար համակարգ, որոնց վրա տեղակայված էր ARTEX-ը։ Տասը դեպքում սխալ կարգավորումների պատճառով հասանելի էին տվյալների ամբողջական շտեմարանները։ Մասնագետների դիտարկմամբ՝ նման համակարգերի օպերատորներին հաճախ բավական է սահմանել վերջնական նպատակը․ հետագա գործողությունները գործակալները կատարում են ինքնուրույն, իսկ մարդու միջամտությունը սահմանափակվում է առաջընթացի ստուգմամբ և առաջադրանքների ճշգրտմամբ։

Առանձին արշավներում ARTEX-ի գործիքներն օգտագործվել են կրիպտոարժույթ և Apple-ի կոդի ստորագրման վկայագրեր գողանալու, խաղային օգտահաշիվներ կոտրելու և DDoS հարձակումներ իրականացնելու համար։ Գործողություններից մեկի շրջանակում չարագործները ձեռք են բերել Apple-ի ավելի քան 300 վկայագիր և դրանց հետ կապված գաղտնաբառերը։ Երեք վկայագիր անցել են ամբողջական ստուգում և կարող էին օգտագործվել iOS-ի կամայական հավելվածներ ստորագրելու համար։

Մասնագետների գնահատմամբ՝ կիբեռսպառնալիքներում ԱԲ գործակալների բերած առանցքային փոփոխությունն առաջին հերթին կապված է հարձակումների մասշտաբի և արագության հետ։ Նույնիսկ սահմանափակ տեխնիկական հմտություններ ունեցող չարագործները կարող են գործակալներին հանձնարարել զուգահեռաբար ուսումնասիրել բազմաթիվ թիրախներ և շահագործել հայտնի խոցելիությունները՝ նվազեցնելով յուրաքանչյուր փուլը ձեռքով կառավարելու անհրաժեշտությունը։

Այսպիսով՝ գործիքները, որոնք ի սկզբանե նախատեսված էին համակարգերի պաշտպանվածության օրինական թեստավորման համար, դառնում են հարձակումների ավտոմատացման հասանելի միջոց։ Գործողությունների երկար շղթաներ ինքնուրույն կառուցելու դրանց ունակությունը մեծացնում է վտանգը, որ նույնիսկ չարագործների փոքր խմբերը կկարողանան բարդ գործողություններ իրականացնել՝ ծախսելով ավելի քիչ ժամանակ և ռեսուրսներ։