მთავარი დასკვნა
ბრაუზერებისა და დანამატების ინვენტარი ავტომატურ განახლებებს შეუთავსეთ, არასაჭირო კომპონენტები წაშალეთ და სარისკო შესრულება შეზღუდეთ. ცნობილი აქტიური ექსპლუატაციის მქონე მოწყვლადობებს ცალკე პრიორიტეტი მიანიჭეთ.
როგორ აწვდის ექსპლოიტების ნაკრები მავნე პროგრამას
ექსპლოიტების ნაკრები ვებსაიტის ვიზიტორის პროგრამების სისუსტეების შემოწმებასა და მავნე დატვირთვის მიწოდებას ავტომატურად ასრულებს. ჯაჭვი შეიძლება მოიცავდეს კომპრომეტირებულ საიტს ან მავნე რეკლამას, გადამისამართებებს, მოწყობილობის პროფილირებას, შესაბამის ექსპლოიტსა და დატვირთვის მიწოდებას. ინფიცირება შეიძლება მომხმარებლის მიერ ჩამოტვირთვის არჩევის გარეშეც მოხდეს. მოძველებული ბრაუზერები და დანამატები უკვე გამოსწორებულ სისუსტეებს ხელმისაწვდომად ტოვებს; ზოგი კამპანია ახლად აღმოჩენილ მოწყვლადობებსაც იყენებს.
| ჯაჭვის ეტაპი | დაცვის კითხვა | სასარგებლო მტკიცებულება |
|---|---|---|
| შესვლა და გადამისამართება | რომელი საიტით ან სარეკლამო გზით მიაღწია მოწყობილობას? | დროის მიხედვით შეაჯერეთ ბრაუზერის, DNS‑ისა და პროქსის მოვლენები. |
| მოწყვლადი პროგრამა და შესრულება | იყო დაზიანებული პროგრამა დაყენებული და კონტროლი აქტიური? | შეამოწმეთ ვერსიები, პატჩების მდგომარეობა და ბოლო მოწყობილობის პროცესების მოვლენები. |
| მავნე დატვირთვა და გავლენა | რა აქტივობა მოჰყვა? | გააერთიანეთ შეტყობინებები, კომუნიკაციები და აღდგენის შემოწმებები. |
ისტორიული მაგალითი: Magnitude
Kaspersky‑ის 2020 წლის კვლევამ აღწერა Magnitude‑ის მიერ გამოსასყიდის მომთხოვნი პროგრამის მავნე რეკლამით მიწოდება აზიისა და წყნარი ოკეანის რეგიონში. მოძველებულ ბრაუზერზე ექსპლოიტის მორგება და ოპერაციულ სისტემამდე მიღწევა აჩვენებს, რატომ მუშაობს ბრაუზერის მხარდაჭერა, პატჩები და ბოლო მოწყობილობის კონტროლი ერთად. ამ ჯაჭვის ეტაპებზე შეისწავლეთ მოწყობილობის მხარდაჭერა და განახლების დაფარვა.
ისტორიული მაგალითი: Nuclear
Talos‑ის 2016 წლის აპრილის Nuclear‑ის გამოკვლევამ აღწერა Flash‑ის ექსპლუატაცია, რომელსაც Tor კლიენტი და მეორეული დატვირთვა მოჰყვა. კოდის შენიღბვა და გადამისამართებები აჩვენებს, რატომ შეიძლება ერთი ხილული URL‑ის დაბლოკვისას ინფიცირების დანარჩენი ჯაჭვი შეუსწავლელი დარჩეს. ექსპლუატაციიდან ამოიღეთ მოძველებული დანამატები და ვების, ქსელისა და ბოლო მოწყობილობის მტკიცებულებები შეაჯერეთ შესვლისა და დატვირთვის მიწოდების გამოსაკვლევად.
ისტორიული მაგალითი: Fallout
FireEye‑ის 2018 წლის Fallout‑ის გამოკვლევამ დააფიქსირა მავნე რეკლამის კამპანია, რომელიც GandCrab გამოსასყიდის მომთხოვნ პროგრამას აწვდიდა. სამიზნის პროფილირება, გადამისამართებები და ექსპლუატაცია საბოლოო დატვირთვას წინ უსწრებს. გამოკვლევებში ბრაუზერისა და სარეკლამო ტრაფიკის სიგნალები შეინარჩუნეთ და მხოლოდ საბოლოო გამოსასყიდის მომთხოვნ ფაილს ნუ მოძებნით. ეს შუალედური ეტაპები ეხმარება აღადგინოთ, როგორ მიაღწიეს მოწყობილობას და რომელ კონტროლს სჭირდება გაუმჯობესება.
ისტორიული მაგალითი: RIG
Cisco Talos‑ის 2016 წლის RIG‑ის ანალიზმა აჩვენა ჯაჭვი კომპრომეტირებული ვებშიგთავსიდან ექსპლოიტის მიწოდებამდე. დამალულმა iframe‑ებმა, ცვალებადმა დომენებმა და კოდის შენიღბვამ ხილული ინდიკატორები შეიძლება შეცვალოს. საიტის, DNS‑ის, პროქსისა და ბოლო მოწყობილობის მოვლენები ქრონოლოგიაზე შეაჯერეთ და ფაილისა და დომენის ინდიკატორებს ქცევისა და პროგრამის ვერსიის მტკიცებულება დაუმატეთ. დატვირთვასთან ერთად გზაც გამოიკვლიეთ.
დატვირთვები და სერვისის მოდელი
ექსპლოიტის მიწოდება შეიძლება ემსახურებოდეს გამოსასყიდის მომთხოვნ პროგრამებს, ინფორმაციის მომპარავებს, საბანკო ტროიანებს, ბოტებს ან მაინერებს. ნაკრებები და კამპანიის ინფრასტრუქტურა შეიძლება დანაშაულებრივ სერვისებად მიეწოდებოდეს, საბოლოო დატვირთვას კი ოპერატორის მიზნები განსაზღვრავდეს. დაცვა შესვლას, შესრულებას, კომუნიკაციასა და მონაცემებზე გავლენას დაუფუძნეთ და არა ერთი მავნე ოჯახის სახელს; საფრთხის ინფორმაცია დაკვირვებულ მტკიცებულებას დაუკავშირეთ.
პატჩები, დაუცველობის შემცირება და რეაგირება
განაახლეთ ბრაუზერები, ოპერაციული სისტემები და აპლიკაციები და მოძველებული დანამატები და სისტემები ექსპლუატაციიდან ამოიღეთ. პრიორიტეტიზაციისთვის CISA KEV და მომწოდებლის ინფორმაცია აქტივის კრიტიკულობასა და დაუცველობასთან ერთად გამოიყენეთ. შეამოწმეთ ვებისა და ბოლო მოწყობილობების კონტროლი, სეგმენტაცია და სარეზერვო ასლებიდან აღდგენა. საეჭვო მოწყობილობები რეაგირების პროცედურით იზოლაციაში გადაიყვანეთ, მტკიცებულებები შეინარჩუნეთ და აღდგენამდე შესვლის სისუსტე აღმოფხვერით. შესაბამისი ინდიკატორები ინციდენტის დამტკიცებული არხებით გააზიარეთ.