Odpowiedź CrowdStrike na niedawne ataki na łańcuch dostaw
Cyberprzestępcy wykorzystali oprogramowanie SolarWinds, aby uzyskać dostęp do sieci korporacyjnych wielu dużych instytucji na całym świecie. Po tym incydencie firma SolarWinds została klientem CrowdStrike. Chcieliśmy podzielić się tą informacją z naszymi partnerami.
Co się wydarzyło?
Niedawne doniesienia o atakach na łańcuch dostaw za pośrednictwem oprogramowania SolarWinds, przeprowadzone przez zaawansowanych przestępców, podkreślają, że ataki zorientowane na tożsamość są teraz integralną częścią naruszeń. Te ataki wykorzystują ruch boczny do dalszych działań po penetracji. Wykorzystują prawdziwe dane uwierzytelniające, aby uzyskać dostęp do sieci korporacyjnej ofiary, przez co pozostawiają mniej śladów. Po uzyskaniu dostępu, przestępcy wykorzystują kilka różnych danych uwierzytelniających, co dodatkowo utrudnia ich wykrycie.
Jak CrowdStrike chroni klientów?
Najważniejsza informacja – klienci CrowdStrike są chronieni przed ostatnimi atakami! Zespół Intelligence Team w CrowdStrike zdobył próbki zainfekowanych plików binarnych i przeprowadził odwrócenie inżynierii, aby uzyskać dodatkowe informacje, w tym wskaźniki narażenia (IOC) i wskaźniki ataku (IOA), dodatkowo poza tymi, które zostały ujawnione publicznie. Wszystkie szkodliwe nazwy hostów, adresy IP, adresy URL, skróty binarne, klucze rejestru i inne IOC zostały dodane do CrowdStrike ThreatGraph. Analitycy CrowdStrike dodali dwadzieścia nowych IOA w celu wykrywania działań typu tradecraft, sygnalizujących rzeczywiste narażenie hosta, w przeciwieństwie do wykrywania zwykłej obecności modułów trojańskich. Ponadto firma wdrożyła różne narzędzia i możliwości na platformie Falcon, aby ułatwić identyfikację potencjalnie zagrożonych hostów:
- Nowy panel informacyjny dotyczący podatności SUNBURST, który identyfikuje hosty z IOC powiązanymi z tą podatnością, obejmujący możliwość przeglądania, które urządzenia końcowe miały zainfekowane pliki w ciągu ostatnich 90 dni.
- Wykres wskaźników, który umożliwia klientom określenie, czy były dowody na zainfekowanie plików i hostów w ciągu ostatniego roku.
- Wreszcie, klienci mogą zobaczyć wykrycia przy użyciu IOC powiązanych z podatnością Sunburst na hostach z włączoną opcją wykrywania Cloud ML.
Zasoby informacyjne dotyczące Sunburst od CrowdStrike
CrowdStrike uruchomił stronę Sunburst z dostępnymi informacjami, aby organizacje mogły dowiedzieć się, jak uniknąć szkód spowodowanych tym atakiem. Strona zawiera informacje na temat tego, jak organizacje mogą sprawdzić, czy są dotknięte, co można zrobić, aby usunąć naruszenia i jak chronić infrastrukturę.
Prosimy skierować klientów do centrum zasobów CrowdStrike, https://www.crowdstrike.com/sunburst/, aby dowiedzieć się więcej o tym, jak chronić swoją korporacyjną sieć przed zagrożeniami Sunburst.
