Разгадка тактики Muddled Libra: как злоумышленники атакуют контроллеры доменов через поисковые системы

Исследователи из Unit 42 опубликовали детальный отчет, раскрывающий операционный метод группы Muddled Libra. В ходе анализа инфраструктуры злоумышленников аналитики обнаружили сервер, который использовался для ведения активных операций. Этот инцидент демонстрирует, как киберпреступники готовят почву для атак, фокусируясь на критически важных системах, таких как контроллеры доменов, и используя поисковые системы для сбора разведданных.

Анализ инструментов и цели атаки

Ключевым элементом в тактике Muddled Libra является использование «роевого» подхода. Атакующие не работают в одиночку; они создают сеть зараженных узлов, которые координируют свои действия. В рамках исследования был изучен один из таких «роевых» хостов, на котором были найдены специализированные инструменты.

Основной целью злоумышленников являются контроллеры доменов (Domain Controllers). Это серверы, отвечающие за управление учетными записями и политиками безопасности в сети организации. Компрометация этих систем позволяет злоумышленникам получить полный контроль над сетью, что делает их особенно привлекательной целью для кибератак.

Помимо прямого взлома, группа активно использует поисковые системы (Google, Bing и аналоги) как инструмент разведки. Атакующие сканируют открытый интернет в поисках конфиденциальной информации, открытых портов или уязвимых конфигураций, которые можно использовать для последующей атаки.

Значимость для управления внешней атакующей поверхностью

Этот случай имеет критическое значение для организаций, занимающихся управлением внешней атакующей поверхностью (External Attack Surface Management). Он иллюстрирует две ключевые проблемы:

1. Наличие «роевых» хостов: Атакующие часто создают временные или нелегитимные серверы для выполнения своих задач. Если организация не отслеживает весь интернет, такие ресурсы могут оставаться незамеченными долгое время, становясь «лазейками» для злоумышленников.
2. Использование OSINT (Open Source Intelligence): Атакующие не просто брутфорсят пароли; они используют общедоступные данные для точечных атак. Поисковые системы предоставляют им доступ к информации о структуре сети, открытых базах данных и ошибках конфигурации, которые часто остаются незамеченными стандартными системами мониторинга.

Рекомендации для команд безопасности

Чтобы защитить свои сети от подобных тактик, организациям необходимо принять ряд мер. Вот практические шаги, которые помогут укрепить оборону:

• Регулярный аудит внешней поверхности: Используйте специализированные инструменты для постоянного сканирования всего интернета. Это позволит выявить «роевые» хосты, открытые порты и другие уязвимые активы до того, как ими воспользуются злоумышленники.
• Мониторинг OSINT: Настройте автоматизированные уведомления для отслеживания появления вашей корпоративной информации в поисковых системах. Это поможет выявить утечки данных или появление подозрительных доменов, связанных с вашей компанией.
• Защита контроллеров доменов: Установите строгие политики доступа к контроллерам доменов. Используйте многофакторную аутентификацию (MFA) и ограничьте список IP-адресов, с которых разрешен доступ к этим системам.
• Проверка подозрительных ресурсов: Если в процессе сканирования были обнаружены ресурсы, которые не принадлежат организации, немедленно предпримите меры по их изоляции или блокировке. Это включает в себя проверку DNS-записей и анализ контента веб-серверов.
• Обучение персонала: Обеспечьте сотрудников пониманием того, что поисковые системы могут использоваться злоумышленниками для сбора информации о компании. Это поможет избежать ошибок конфигурации, которые могут быть замечены в открытом доступе.