Попередження про несанкціонований доступ до японських організацій

Резюме

Серія інцидентів несанкціонованого доступу, націлених на японські організації, тепер спостерігається, що в основному призводить до витоку особистої інформації. Діяльність включає експлуатацію відомих вразливостей програмного забезпечення, несанкціоновані маніпуляції з API, SQL-ін’єкції в Metabase і розгортання веб-шеллов через WAR-файли. Ці випадки здаються спрямованими на системи управління, BI-інструменти та внутрішні додатки, які ніколи не призначалися для суспільного використання.

Розслідування

JPCERT/CC виявив кілька векторів атаки, включаючи експлуатацію API-ендпоінтів, NoSQL-ін’єкцію і використання специфічних шкідливих IP-адрес. Розслідування показало, що зловмисники сканують на наявність відомих вразливостей та помилок конфігурації, таких як незахищені конфігураційні або резервні файли. Недавні оновлення особливо підкреслюють веб-шелли, вбудовані у .war-файли, що використовуються для виконання команд оболонки через параметри запиту.

Захист

Рекомендовані заходи щодо запобігання включають обмеження частоти звернень до чутливих API-ендпоінтів, жорсткі заходи контролю доступу і патчі безпеки для вразливого програмного забезпечення, такого як Metabase. Організаціям слід застосовувати принцип найменших привілеїв до API-токенів і обмежувати доступність сервісів для певних географічних регіонів. Жорсткування керівних систем та BI-інструментів, щоб вони не були відкриті для суспільного інтернету, настійно рекомендується.

Реагування

Після виявлення організації повинні негайно відкликати скомпрометовані API-токени, заблокувати доступ з виявлених шкідливих IP-адрес і шукати можливе бічне переміщення. Аналізувати журнали веб-сервера на наявність незвичних запитів GET/POST і перевіряти на несанкціоновані розгортання .war або .jsp файлів. Організаціям також слід підготувати плани комунікації для повідомлення постраждалих клієнтів про можливі вторинні пошкодження.

Виконання симуляції

• Сценарій атаки та команди: Противник проводить розвідку і сканування вразливостей (T1595.002) щодо публічно-фасадного API організації. Щоб уникнути виявлення, зловмисник зазвичай використовує пул проксі; однак для цієї валідації ми будемо моделювати використання конкретної IP-адреси з чорного списку з розвідки загроз (наприклад, 20.210.128.125). Мета полягає в моделюванні спроби вхідного підключення, яка потрапляє до межової системи, активуючи правило на основі джерела IP.

• Сценарій регресійного тестування:

  # Цей скрипт моделює мережеве з'єднання з IP з чорного списку.
  # Примітка: У реальному моделюванні це виконувалося б контрольованим зовнішнім джерелом. 
  # Для локального тестування ми вводимо запис у журналі у 
  # каналі ведення журналів, щоб імітувати бачення цього трафіку на межовій системі.
  
  echo "$(date '+%b %d %H:%M:%S') firewall-01 filter: inbound permit tcp 20.210.128.125 44332 -> 192.168.1.50 443 tcp dport=443 spt=44332 state=NEW" >> /var/log/firewall.log
  
  echo "Симуляція: Введено запис журналу для чорного списку IP 20.210.128.125"

• Команди очистки:

  # Видалити змодельований запис у журналі для відновлення базової лінії
  sed -i '/20.210.128.125/d' /var/log/firewall.log
  echo "Очистка: Змодельований запис у журналі видалено."