Κυβερνοπαραβίαση συστημάτων ύδρευσης και αποχέτευσης των ΗΠΑ

Η Υπηρεσία Κυβερνοασφάλειας και Υποδομών (CISA) εξέδωσε προειδοποίηση για μια συνεχιζόμενη κυβερνοαπειλή στα Συστήματα Ύδρευσης και Λυμάτων των ΗΠΑ, επισημαίνοντας επίσης πέντε περιστατικά που σημειώθηκαν μεταξύ Μαρτίου 2019 και Αυγούστου 2021. Αυτές οι εγκαταστάσεις χρησιμοποιούνται για τη διαχείριση και την παροχή καθαρού νερού σε κοινότητες σε όλη τη χώρα. Αυτή η προειδοποίηση έρχεται λίγες μόλις ημέρες αφότου ο Υπουργός Εσωτερικής Ασφάλειας των ΗΠΑ εξήγησε ότι επιθέσεις όπως αυτές μπορούν τελικά να θέσουν σε κίνδυνο την υγεία και την ασφάλεια των πολιτών των ΗΠΑ.

Επισκόπηση παραβίασης

Μια κοινή έκθεση παραβίασης από την CISA, το FBI, την EPA και την NSA ανέφερε ότι αυτή η δραστηριότητα περιλαμβάνει προσπάθειες παραβίασης της ακεραιότητας του συστήματος μέσω μη εξουσιοδοτημένης πρόσβασης. Οι κακόβουλοι παράγοντες ακολούθησαν δύο οδούς στα συστήματα WWS: το spear-phishing και μέσω παρωχημένων ή μη ενημερωμένων λειτουργικών συστημάτων (OS) και λογισμικού.

Η έκθεση περιέγραψε επίσης λεπτομερώς τις πέντε διαφορετικές κυβερνοεπιθέσεις από το 2019 έως τις αρχές του 2021 που στόχευαν τον τομέα WWS:

• Ένας πρώην υπάλληλος σε μια εγκατάσταση της WWS με έδρα το Κάνσας επιχείρησε να αποκτήσει απομακρυσμένη πρόσβαση σε έναν υπολογιστή εγκατάστασης τον Μάρτιο του 2019 χρησιμοποιώντας διαπιστευτήρια που δεν είχαν ανακληθεί.
• Παραβίαση αρχείων και πιθανές Makop ransomware παρατηρήθηκε σε εγκατάσταση WWS με έδρα το Νιου Τζέρσεϊ τον Σεπτέμβριο του 2020
• Μια άγνωστη παραλλαγή ransomware αναπτύχθηκε εναντίον μιας εγκατάστασης WWS με έδρα τη Νεβάδα τον Μάρτιο του 2021.
• Παρουσιάζοντας ZuCaNo ransomware στον υπολογιστή SCADA λυμάτων μιας εγκατάστασης WWS με έδρα το Μέιν τον Ιούλιο του 2021
• A Ghost ransomware επίθεση εναντίον εγκατάστασης WWS με έδρα την Καλιφόρνια τον Αύγουστο του 2021

Τι είναι αυτές οι επιθέσεις και τι μπορώ να κάνω;

Spears Phishing

Το Spear-Phishing είναι μια μορφή επίθεσης ηλεκτρονικού "ψαρέματος" (phishing) που στοχεύει ένα συγκεκριμένο άτομο ή οργανισμό, επιδιώκοντας πρόσβαση σε ευαίσθητες πληροφορίες. Παρόμοια με το ηλεκτρονικό "ψάρεμα" (phishing), το spear-phishing είναι όταν ένα πλαστογραφημένο email αποστέλλεται σε έναν συγκεκριμένο στόχο, ο οποίος έχει αναζητηθεί στο διαδίκτυο με περιεχόμενο μοναδικό για το στοχευμένο άτομο. Το φαλαινοθηρικό ψάρεμα (whaling) είναι παρόμοιο με το spear-phishing, αλλά στοχεύει υψηλόβαθμα στελέχη σε μια προσπάθεια να αποκτήσει πρόσβαση στα προνομιακά δεδομένα τους.

Τι να κάνω?

Οι επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) είναι ένα από τα πιο εύκολα πράγματα που μπορείτε να εκπαιδεύσετε τους υπαλλήλους σας σχετικά με τον τρόπο εντοπισμού και αποφυγής. Ακολουθήστε αυτές τις βέλτιστες πρακτικές για να μειώσετε την πιθανότητα να παραβιαστείτε από μια επίθεση Spear-Phishing.

1. Εκπαιδεύστε τους υπαλλήλους σας σχετικά με τον τρόπο εντοπισμού, αποφυγής και διαγραφής επιθέσεων ηλεκτρονικού "ψαρέματος" (phishing)
2. Δοκιμάστε τους υπαλλήλους σας με επιθέσεις Phish Testing. Εκπαιδεύστε ξανά όσους αποτυγχάνουν στις δοκιμές σας.
3. Αγοράστε και εκπαιδεύστε τους υπαλλήλους σας σχετικά με τον τρόπο χρήσης ενός Διαχειριστή Κωδικών Πρόσβασης (Password Manager). Εάν επισκεφθείτε έναν ιστότοπο ηλεκτρονικού "ψαρέματος" (phishing) και προσπαθήσετε να εισαγάγετε τα στοιχεία του κωδικού πρόσβασής σας χρησιμοποιώντας ένα Διαχειριστή Κωδικών Πρόσβασης (Password Manager), ΔΕΝ θα μπορέσετε. Οι υπάλληλοι που επαναχρησιμοποιούν κωδικούς πρόσβασης θα εισαγάγουν οπωσδήποτε τα στοιχεία πρόσβασής τους.
4. Για να προστατεύσετε το Διαδίκτυο από επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing) που χρησιμοποιούν το όνομα τομέα σας, ρυθμίστε το SPF, το DKIM και Εγγραφές DMARC για να αποκλείσετε την παραλαβή email που παρουσιάζονται ως το όνομα τομέα σας

Μη ενημερωμένο λειτουργικό σύστημα και λογισμικό

Οι ενημερώσεις κώδικα (patches) συνήθως γίνονται για την επίλυση ενός προβλήματος με μια συσκευή ή μια λύση λογισμικού. Συχνά, οι ενημερώσεις κώδικα (patches) κυκλοφορούν από τους προμηθευτές για την αντιμετώπιση ενός κρίσιμου σφάλματος ασφαλείας ή ευπάθειας . Η αγορά λογισμικού Commercial-Off-The-Shelf (COTS) βοηθά στη διασφάλιση ενός σταθερού κύκλου ανάπτυξης που περιλαμβάνει ενημερώσεις κώδικα για το λογισμικό που εκτελεί την επιχείρησή σας. Απλώς λάβετε υπόψη ότι όλο το λογισμικό μπορεί να φτάσει στο τέλος του κύκλου ζωής του και στο τέλος της υποστήριξής του, πράγμα που σημαίνει ότι ο προγραμματιστής λογισμικού δεν θα εκδίδει πλέον ενημερώσεις κώδικα για την επίλυση προβλημάτων. Σε αυτές τις περιπτώσεις, πρέπει να αναβαθμίσετε σε μια πιο πρόσφατη έκδοση υλικού ή λογισμικού για να συνεχίσετε να λαμβάνετε ενημερώσεις κώδικα για την υποδομή IT σας.

Τι να κάνω?

Κάθε ΜΜΕ θα πρέπει να διαθέτει μια διαδικασία για τον χειρισμό ειδοποιήσεων κρίσιμων ευπαθειών (patches), προκειμένου να αξιολογεί γρήγορα τον κίνδυνο και να λαμβάνει σημαντικές, χρονικά ευαίσθητες αποφάσεις σχετικά με τον τρόπο αντίδρασης. Με μια Διαδικασία Διαχείρισης Ειδοποιήσεων Ευπάθειας (VAMP) , μπορείτε να έχετε έναν σαφή οδηγό για το πότε να κάνετε άλμα και πόσο ψηλά να κάνετε άλμα για μια δεδομένη ευπάθεια ή έκθεση.

Για να παραμένετε ενημερωμένοι ανά πάσα στιγμή, είναι σημαντικό να αναπτύξετε μια λύση διαχείρισης ενημερώσεων κώδικα που βασίζεται στο cloud για την αυτόματη ενημέρωση του λογισμικού όποτε και όπου είναι απαραίτητο. Οι περισσότεροι πάροχοι διαχειριζόμενων υπηρεσιών αξιοποιούν μία από τις τρεις μεγάλες λύσεις απομακρυσμένης παρακολούθησης και διαχείρισης (RMM) ( Connectwise , Datto και Kaseya) για την ενημέρωση των διαχειριζόμενων συστημάτων τους. Αυτές οι λύσεις RMM παρέχουν επίσης παρακολούθηση και απομακρυσμένη πρόσβαση, εκτός από δοκιμασμένες και επικυρωμένες υπηρεσίες ενημέρωσης κώδικα στους πελάτες τους.

Οι αυτόνομες λύσεις διαχείρισης ενημερώσεων κώδικα για εταιρείες που δεν χρησιμοποιούν τις προαναφερθείσες λύσεις RMM περιλαμβάνουν τα ManageEngine και Automox.

Ταυτότητα και πρόσβαση Διαχείρισης

Σε μία από τις αναφερόμενες παραβιάσεις, ένας απολυμένος υπάλληλος επιχείρησε πρόσβαση σε ένα σύστημα που περιείχε τον ενεργό λογαριασμό του. Βεβαιωθείτε ότι έχετε ισχυρές διαδικασίες ένταξης και αποσύνδεσης για την έγκαιρη χορήγηση και ανάκληση πρόσβασης. Συνδυάστε αυτές τις διαδικασίες με μια τριμηνιαία διαδικασία ελέγχου για να διασφαλίσετε τη συμμόρφωση. Προσθέστε δυνατότητες ελέγχου ταυτότητας δύο παραγόντων και ενιαίας σύνδεσης (SSO) στην επιχείρησή σας για να απλοποιήσετε τους ελέγχους συμμόρφωσης και να βελτιώσετε τη συνολική ασφάλεια.

ransomware

Το ransomware είναι ένας τύπος κακόβουλου λογισμικού που έχει σχεδιαστεί για να εμποδίζει την πρόσβαση σε ένα σύστημα υπολογιστή και, το πιο σημαντικό, στα κρίσιμα δεδομένα που περιέχει μέχρι να καταβληθεί ένα χρηματικό ποσό ή λύτρα, επηρεάζοντας τη « διαθεσιμότητα » των δεδομένων. Πρόσφατα, το ransomware έχει αναπτυχθεί για να επιτρέπει στους χάκερ να εξάγουν τα κλειδωμένα δεδομένα σε ιστότοπους ηλεκτρονικής αποθήκευσης και να απειλούν να τα απελευθερώσουν εάν δεν πληρώσουν τα λύτρα, επηρεάζοντας την « εμπιστευτικότητα » των δεδομένων.

Οι επιτιθέμενοι παραδοσιακά ζητούν πληρωμές σε bitcoin, ωστόσο, όπως φαίνεται στις επιθέσεις Colonial Pipeline, οι πληρωμές με bitcoin γίνονται σε ένα δημόσιο blockchain, το οποίο επέτρεψε την ανάκτηση του μεγαλύτερου μέρους της πληρωμής με bitcoin. Οι πρόσφατες εξελίξεις στο ransomware οδηγούν τους χάκερ να στρέφονται σε « πληρωμές με κρυπτονομίσματα Monero », επειδή το ίδιο το blockchain αποκρύπτει τη διεύθυνση του πορτοφολιού, το ποσό συναλλαγής και τον αντισυμβαλλόμενο που πληρώθηκε, οδηγώντας σε πολύ ισχυρότερη ανωνυμία των πληρωμών με κρυπτονομίσματα, κάτι που χρειάζονται οι κακόβουλοι παράγοντες για να προστατεύσουν τις πληρωμές τους από την ανάκτηση.

Τι να κάνω?

Η καλύτερη προσέγγιση για την άμυνα κατά του ransomware είναι η εξής:

• Ενστερνίζομαι έλεγχος ταυτότητας δύο παραγόντων για να αποτρέψετε παραβίαση κωδικού πρόσβασης στο VPN, τις υπηρεσίες email και οποιαδήποτε άλλη κρίσιμη υπηρεσία της επιχείρησής σας που είναι άμεσα προσβάσιμη μέσω Διαδικτύου
• Τακτική δημιουργία αντιγράφων ασφαλείας των δεδομένων μετά την Μέθοδος δημιουργίας αντιγράφων ασφαλείας 3-2-1 για τη δημιουργία αντιγράφων ασφαλείας όλων των κρίσιμων και ευαίσθητων δεδομένων σας
• Εκπαίδευση υπαλλήλων σχετικά με τον τρόπο εντοπισμού και αποφυγής επιθέσεων ηλεκτρονικού "ψαρέματος" (phishing), οι οποίες είναι ο κύριος τρόπος με τον οποίο συμβαίνουν οι επιθέσεις ransomware
• Να έχετε τεκμηριωμένο και δοκιμασμένο Σχέδιο Συνέχειας Επιχειρηματικής Δραστηριότητας και Ανάκαμψης από Καταστροφές (BCDR)

Πηγές: 

TheHackerNews

Κοινή Έκθεση CISA

Επιπλέον αναγνώσεις:

Οι υπηρεσίες προειδοποιούν για τις συνεχιζόμενες κυβερνοαπειλές κατά των εγκαταστάσεων επεξεργασίας νερού

Οι υπηρεσίες προειδοποιούν για κυβερνοαπειλές για τα συστήματα ύδρευσης και αποχέτευσης.

Το PCMagazine προειδοποιεί για απειλές Ransomware κατά των συστημάτων επεξεργασίας νερού

Μάθετε πώς η CyberHoot μπορεί να ασφαλίσει την επιχείρησή σας.

Προγραμματίστε μια επίδειξη