حملات سرعت ماشین نیاز به تشخیص و پاسخ سرعت ماشین دارند

TL;DR: تجزیه و تحلیل ما نشان می دهد که مهاجمان اکنون در حال شمارش یا کشیدن داده ها در عرض 15 دقیقه پس از ورود به یک محیط هستند و ابزارهایی که باید آنها را دستگیر می کردند مؤثر نبودند. ما سه الگوی حمله رایج را که در آنها این رفتار را مشاهده کردیم، مورد بحث قرار خواهیم داد.

تشخیص این حوادث نیازمند شناسایی مبتنی بر داده ها و رفتار است. متوقف کردن آنها پاسخی مستقل دارد. ما هر دوی این موضوعات را پوشش می دهیم.

در ماه مارس، یک توسعه‌دهنده دسکتاپ GitHub را نصب کرد، وارد سیستم شد و در همان روز استفاده از آن را متوقف کرد. توکن OAuth که ایجاد کرد به مدت 95 روز در دسته کلید مک قرار داشت. در 19 ژوئن، شخص دیگری شروع به استفاده از آن کرد.

این توکن 76 مخزن را در حدود 15 ثانیه از طریق پراکسی های مسکونی در بیش از دوجین شهر اروپایی بیرون کشید. GitHub هیچ هشداری ارائه نکرد زیرا هیچ چیز در GitHub نحوه استفاده از توکن ها را مشاهده نمی کند. پلت فرم Exaforce آن را در عرض پنج دقیقه پرچم گذاری کرد و در عرض 10 دقیقه آن را تریاژ کرد.

تحلیلگران MDR ما نفوذ را تأیید کردند و دقایقی پس از کشف ردیابی به مشتری اطلاع دادند. اما زمانی که هر اقدامی انجام شد، مهاجم اطلاعات 472 مورد از 638 مخزن را استخراج کرده بود.

این مورد هر دو نیمه مشکل را نشان می دهد. بدون تشخیص ناهنجاری، هیچ کس نمی دانست که توکن در حال استفاده است. با تشخیص مناسب، مهار همچنان به تایید انسانی نیاز دارد و به مهاجم زمان کافی برای استخراج داده ها می دهد.

ویژگی‌های امنیتی GitHub بر بازرسی کدها و اسرار متمرکز است، نه سوء استفاده از نشانه‌ها. ما این سازش توکن GitHub را با انباشتن سیگنال‌های ضعیف در یک جلسه GitHub گرفتیم. ورود به این حساب از شبکه‌ها و شهرهایی انجام شده است که قبلا دیده نشده بود.

بایگانی ZIP را با سرعت دستگاه، با یک عامل کاربر ویندوز، روی حسابی که تنها از macOS استفاده کرده بود، می کشید. هر یک از این سیگنال ها به طور بالقوه قابل توضیح هستند، اما همه آنها در ترکیب نشان دهنده یک چیز مخرب هستند.

توکن‌های برنامه OAuth مانند این، با پیشوند gho_ منقضی نمی‌شوند و GitHub آنها را به تنهایی پس از یک سال لغو می‌کند. در آزمایش ما، صفحه SSO سازمان حتی این نشانه‌ها را فهرست نمی‌کند و فقط از طریق CLI قابل مشاهده هستند. غیرفعال کردن توسعه دهنده در ارائه دهنده هویت، توکن را نیز متوقف نمی کند.

بدون SCIM، GitHub به احترام توکن‌ها ادامه می‌دهد تا زمانی که کسی آنها را لغو کند یا کاربر را از سازمان حذف کند.

توسعه‌دهندگانی که از ابزارهای کدنویسی هوش مصنوعی استفاده می‌کنند بسته‌های npm را نصب می‌کنند و سرورهای MCP را در تمام طول روز، عمدتا خارج از خطوط لوله‌ای که تیم‌های امنیتی نظارت می‌کنند، متصل می‌کنند، و کرم‌هایی مانند Shai-Hulud در لحظه نصب یک بسته مسموم، دستگاهی را برای GitHub و توکن‌های ابری جارو می‌کنند.

این قبل از انجام هر کاری اتفاق می افتد، به همین دلیل است که اسکن مخازن خود برای تعیین اینکه آیا بسته npm در معرض خطر ممکن است بر شما تأثیر گذاشته باشد کافی نیست.

سرقت یک توکن از زنجیره کلید macOS معمولا به یک infostealer نیاز دارد که رمز ورود به سیستم را فیش کند.

جدیدترین ClickFix اعتماد اهرمی را از ابزارهای هوش مصنوعی جذب می کند. در یکی از این رویدادها، کارمندی که به دنبال دستورالعمل‌های نصب Claude Code بود، با دستور نصب یک خطی، روی یک مکالمه مشترک کلود قرار گرفت.

از آنجا که قربانی دستور را اجرا می کند، فیلتر کردن ایمیل و کنترل های دانلود دور زده می شود. موثرترین رویکرد برای گرفتن این نوع حملات، راه حل تشخیص نقطه پایانی است. ارزیابی دامنه تاثیر باید شامل یک تجزیه و تحلیل جامع از تمام نشانه‌ها / اعتبارنامه‌هایی باشد که توسط کاربر ثبت شده است.

یک جلسه ربوده شده به مهاجم اجازه می دهد تا به هر برنامه ای که کاربران شما وارد آن می شوند دسترسی داشته باشد.

یک نسخه نمایشی رزرو کنید تا ببینید که چگونه عوامل Exaforce حملات هویتی را در سراسر محیط شما شناسایی می‌کنند و شامل آن می‌شوند.

در پرونده‌های vishing که امسال کار کردیم، مهاجم دستگاه MFA خود را ثبت کرد و 2.5 اسکریپت دانلود انبوه را 7 دقیقه پس از تایید قربانی شروع کرد. در یکی از این موارد، مهاجم 140000 فایل را استخراج کرده و برای داده های لو رفته درخواست باج کرده است.

اکثر این تماس‌ها از اسکریپت میز راهنمایی که معمولا توسط گروه Scattered Spider استفاده می‌شود، پیروی می‌کنند. تماس‌گیرنده‌ای که خود را به عنوان IT نشان می‌دهد، کارمند را به یک صفحه ورود به سیستم با نام شرکت در URL، مانند contoso.add-passkey[.]com با موضوع رمز عبور در گزارش سپتامبر مایکروسافت می‌فرستد.

صفحه یا ورود به سیستم را از طریق یک پراکسی adversaryin-the-middle AiTM) منتقل می کند، یا مهاجم قربانی را از طریق ورود به سیستم با کد دستگاه هدایت می کند.

یکی از کیت‌هایی که ما جدا کردیم، میزبانی شده در oskeysetup[.]com، از ابتدا نوشته شده بود، بنابراین تشخیص‌های ساخته شده برای Evilginx و سایر کیت‌های عمومی مؤثر واقع نمی‌شوند.

در بیشتر موارد، مشاهده کردیم که شناسایی‌های ارائه‌دهندگان هویت بی‌اثر هستند، زیرا قربانیان یک درخواست واقعی MFA را تأیید می‌کنند. مایکروسافت در یک ربوده شدن جلسه ژوئیه که روی آن کار می‌کردیم، اولین ورود مهاجم را به‌عنوان پرخطر علامت‌گذاری کرد، سپس خطر را برطرف کرد زیرا کاربر MFA را پشت سر گذاشته بود. در عرض چند دقیقه، توکن دزدیده شده از دو کشور دیگر در عرض یک ثانیه پخش شد و هشدارهای بعدی مایکروسافت سطح ریسک کاربر را افزایش داد.

Exaforce با گره زدن ورودی‌های Okta و Microsoft به یکدیگر و بررسی آن‌ها با سابقه کاربر، آن را کشف کرد: این اولین ورود حساب کاربری از ایالات متحده، در یک دستگاه لینوکس و از طریق یک ISP خانگی بود که حساب هرگز از آن استفاده نکرده بود. در این موارد، اولین سیگنال قوی معمولا یک روش جدید MFA از دستگاه و شبکه ای است که کاربر هرگز آن را لمس نکرده است.

ما همچنین متوجه شدیم که مهاجمان یک شرکت را از طریق چندین کارمند مورد هدف قرار می دهند که اغلب از سرورها و دامنه های مشابه استفاده می کنند.

یک رویکرد مؤثر برای مقابله با حوادثی که تاکنون مورد بحث قرار گرفت، حرکت به سمت واکنش مستقل است. پاسخ خودکار مطمئنا چیز جدیدی نیست، اما این ترس همیشه در مورد عواقب یک اقدام اشتباه بوده است که می تواند یک مدیر اجرایی را قفل کند یا یکپارچگی تولید را به هم بزند.

ما دریافتیم که بهتر است به جای آن اقدامات را بر اساس اصطکاک مرتب کنیم: یک اقدام پاسخ اشتباه برای شخصی که دارای اعتبارنامه است چقدر هزینه دارد؟ اگر برای آنها یک ورود به سیستم جدید یا یک تلفن ثبت نام مجدد هزینه دارد، این عمل کم اصطکاک است و می تواند به یافته ای با اطمینان بالا منجر شود. این شامل لغو جلسات، حذف یک روش MFA ثبت شده در جلسه پرچم‌گذاری شده و غیرفعال کردن کلیدی است که می‌تواند دوباره روشن شود.

بازنشانی رمز عبور، غیرفعال کردن حساب، حذف دائمی، و هر چیزی که یک سرویس تولید به آن وابسته است باید به تایید انسانی نیاز داشته باشد. انسان می تواند کاربر هدف و مدیر آنها باشد و در یک پیام سریع تأیید کند که ورود به سیستم متعلق به آنها نبوده است.

اگرچه بیشتر اقدامات مورد بحث به یک هویت یا اعتبارات مرتبط با آن مربوط می شود، نمی توان آنها را به ارائه دهنده هویت محدود کرد. بازنشانی رمز عبور Okta کاربر یا از بین بردن جلسه Okta آنها، توکن‌هایی را که Microsoft 365، Google Workspace یا GitHub قبلا صادر کرده‌اند، لغو نمی‌کند و جلسات AWS و Snowflake که از طریق SSO شروع شده‌اند همچنان اجرا می‌شوند.

در موارد vishing ما، متوجه شدیم که پس از لغو جلسه IdP کاربر، استخراج داده بین 44 دقیقه تا 3 ساعت ادامه داشت و در یک مورد قوانین صندوق ورودی مهاجم از بازنشانی رمز عبور جان سالم به در برد. خروج جهانی Okta به برخی از برنامه‌ها مانند Google Workspace و Slack دسترسی پیدا می‌کند، اما نه GitHub، Snowflake یا ارائه‌دهندگان مدل AI.

بهتر است اقدامات ابطال هر برنامه را زودتر از موعد به همراه حسابی که آنها را اجرا می کند، ایجاد کنید. ما شاهد شکست یک واکنش در اواسط حادثه با یک 403 بوده‌ایم زیرا هیچ‌کس مجوزهای لازم را نداده است.

ایجاد این پاسخ ها برای هر منبع داده ممکن است دلهره آور باشد. توصیه می کنیم با سرویس هایی شروع کنید که حیاتی ترین داده های شما را در خود نگه می دارند.

پاسخ های کم اصطکاک توصیه شده برای شروع و نحوه اجرای آنها:

اقدام: لغو جلسات و نشانه‌های OAuth API صادر شده توسط Okta: DELETE /api/v1/users/{id}/sessions?oauthTokens=true مجوزهایی که به آن نیاز دارد: okta.users.read و okta.users.manage scopes، به علاوه یک نقش مدیر سفارشی و فقط نگهدارنده‌های admin. okta.users.lifecycle.clearSessions

اقدام: بازنشانی همه عوامل کاربر، از جمله API مهاجم: POST /api/v1/users/{id}/lifecycle/reset_factors مجوزهایی که نیاز دارد: محدوده‌های مشابه، با okta.users.credentials.resetFactors اضافه شده به نقش

اقدام: روش‌های MFA کاربر، از جمله API مهاجم را حذف کنید: DELETE /users/{id}/authentication/{type}Methods/{methodId} برای هر تلفن، برنامه Authenticator، نرم‌افزار OATH، FIDO2، Windows Hello، و روش گذر موقت دسترسی مجوزهایی که به آن نیاز دارد: کاربر.خواندن.همه

اقدام: پایان دادن به جلسات وب و دستگاه، و لغو API نشانه‌های OAuth برنامه: POST /admin/directory/v1/users/{userKey}/signOut، DELETE /admin/directory/v1/users/{userKey}/tokens/{clientId} مجوزهایی که به آن نیاز دارد.directory. نقش مدیر

اقدام: رمز دزدیده شده را از API سازمان حذف کنید: برای یافتن آن /orgs/{org}/credential-authorizations?login= {user} را دریافت کنید، سپس /orgs/{org}/credentialauthorizations/{credential_id} را حذف کنید: مجوزهایی که به آن نیاز دارد: مالک سازمان با admin:org یا AdministrationHub هیچ گزینه باریک تری وجود ندارد

اقدام: غیرفعال کردن یک API نشانه دسترسی برنامه‌ریزی شده: SQL خودتان، مانند ALTER USER {name} MODIFY PAT {token} SET DISABLED TRUE، ارسال شده از طریق SQL API POST /api/v2/statements) مجوزهای مورد نیاز: یک کاربر سرویس اختصاصی که نقش آن MODIFY PROGRAMMADS در کاربر MODIFY PROGRAMMADS

اقدام: پایان دادن به جلسات STS که قبلا برای یک API کاربر IAM صادر شده است: PutUserPolicy با یک رد درونی در جلسات صادر شده قبلا (aws:TokenIssueTime) مجوزهایی که نیاز دارد: iam:PutUserPolicy، به علاوه iam:GetUser و iam:GetUserPolicy

اقدام: غیرفعال کردن یک API کلید API: POST /v1/organizations/api_keys/{id} with {"status":"inactive"} مجوزهای مورد نیاز: کلید API Admin

Exaforce یک پلت فرم Agentic SOC با یک سرویس MDR اختیاری است. ماموران ما Exabots) مهندسی تشخیص، تریاژ هشدار، تحقیقات، شکار تهدید و پاسخ را انجام می دهند. نمایندگان بر روی یک پلت فرم داده یکپارچه کار می کنند که می تواند به عنوان SIEM شما عمل کند یا در کنار SIEM شما کار کند.

این پلتفرم با 800 تشخیص ناهنجاری AI/ML ارائه می‌شود که به شناسایی انواع حوادثی که در سرویس‌های Cloud، SaaS، Identity، Endpoint و AI مهم توضیح دادیم کمک می‌کند. بیش از 100 اقدام پاسخ پویا وجود دارد که عوامل می توانند اجرا کنند، بنابراین شما مجبور نیستید خودتان آنها را برای همه خدمات مهم خود بسازید و نگهداری کنید.

می‌توانید در مورد حوادث مشابه بیشتر در وبلاگ‌های تحقیقاتی ExaFiles ما اینجا بخوانید.