Иди на главни садржај

Утицај Shiny Hunters-а на здравствени сектор и препоручене стратегије за ублажавање

Утицај „Shiny Hunters“ на здравствени сектор и препоручене стратегије ублажавања, билтен о претњама Health-ISAC-а.

Организације здравственог сектора суочавају се са примећеним повећањем успешних напада од стране претње, ShinyHunters-а. Чини се да група даје приоритет компромитовању идентитета и SaaS приступу у односу на традиционално распоређивање ransomware-а. Оперативни образац описан у недавним извештајима о инцидентима поклапа се са понављајућим ланцем: vishing (гласовни друштвени инжењеринг) → ресетовање службе за помоћ/MFA или поновна регистрација уређаја → преузимање SSO налога од стране Microsoft Entra (или Okta/Google) → преусмеравање на повезане SaaS платформе → брзо изнуђивање података ради изнуде. Чак и када изјаве жртава указују на ограничен оперативни утицај, описана вештина је кључна одбрамбена лекција. SSO је контролна раван, а предност ShinyHunters-а се ствара кроз крађу података на нивоу облака.

Препоруке

ШајниХантерс се понаша мање као „традиционална екипа за рансомвер“, а више као операција изнуде идентитета и SaaS приступа: користе друштвени инжењеринг (посебно вишинг) да би компромитовали Microsoft Entra (или Okta/Google) SSO идентитет, а затим се пребацују на повезане SaaS апликације и извлаче податке ради предности. У недавном извештавању о инцидентима, ШајниХантерс је посебно тврдио да је вишинг више запослених довео до компромитовања Microsoft Entra SSO налога, након чега је уследила крађа података из SaaS-а и интерних платформи (нпр. Microsoft 365/SharePoint и друге пословне услуге). ТТП-ови описани овде су кључне лекције за браниоце на основу ових недавних сајбер инцидената.

У наставку су практичне препоруке са великим утицајем за заштиту здравствених и медицинско-технолошких организација од кампања у стилу ShinyHunters-а, мапираних на MITRE ATT&CK → D3FEND → NIST/CIS. (Користим детаље инцидента у датом контексту као сидро, а општу праксу сајбер безбедности да бих их претворио у контроле.)

1) Прекинути ланац преузимања вишинга → службе за помоћ/ресетовање → SSO (најважније) Шта ShinyHunters експлоатише

  • Гласовни друштвени инжењеринг како би се преварили корисници/службе за помоћ да ресетују MFA, региструју уређаје, ресетују лозинке или добију OAuth сагласност — што доводи до преузимања SSO налога.

Препоруке

А. Харденов хелпдеск / IAM подршка
  • Захтевајте ванпојасну проверу идентитета за свако ресетовање лозинке, ресетовање вишеструке офсајдерске провере (MFA) или поновну регистрацију уређаја (нпр. верификовани повратни позив на познати број + одобрење менаџера за привилеговане кориснике).
  • Имплементирајте правило „нема истог позива“: агент не може да заврши ресетовање у оквиру истог долазног позива; захтевајте тикет + верификовани повратни позив.
  • Спроведите постепену верификацију за свакога ко захтева измене фактора овлашћења, посебно за руководиоце, ИТ администраторе, финансијско и безбедносно особље.
Б. Заштитите МФА од „злоупотребе ресетовањем“
  • Дајте предност вишефакторском аутентификационом аутентификацији отпорном на фишинг (безбедносни кључеви FIDO2/WebAuthn или еквивалентни) за све администраторе и групе високог ризика; проширите на све кориснике где је то изводљиво.
  • Онемогућите или строго ограничите SMS/гласовни MFA и слабе резервне методе.
  • Успоставити строге контроле око регистрације MFA фактора (захтевати уређај који је у складу са прописима, ограничења локације или условни приступ).

ATT&CK: Социјални инжењеринг (вишинг), Важећи налози
D3FEND: Верификација идентитета корисника, вишефакторска аутентификација, јака аутентификација
NIST 800-53r5: IA-2, IA-5, AC-2
CIS v8: 6 (Управљање контролом приступа), 5 (Управљање налозима)

***

2) Третирајте Entra/Okta/SSO као „Tier 0“: закључајте га као контролер домена

Пословни модел компаније ShinyHunters зависи од једне ствари: SSO = кључеви краљевства.

Препоруке

A. Заштитне ограде за условни приступ / нулто поверење
  • За приступ осетљивом SaaS-у (M365, Salesforce, ServiceNow, итд.) потребан је уређај компатибилан са MFA + стандардом.
  • Блокирајте застареле аутентификације и ризичне протоколе.
  • Примените провере гео-брзине / немогућег путовања и политике ризика сесије.
  • Ограничите приступ према положају уређаја (само за управљане крајње тачке) за администраторске портале и апликације богате подацима.
Б. Дисциплина привилегованог приступа
  • Одвојите администраторске налоге од налога за свакодневне кориснике.
  • Користите радне станице са привилегованим приступом (PAW) или ојачана администраторска окружења.
  • Примените принципе „тачно на време“ (JIT) и „тачно довољно приступа“ (JEA) за улоге.

ATT&CK: Важећи налози; приступ акредитивима + путање ескалације привилегија
D3FEND: Контрола приступа, управљање привилегованим налозима, спровођење условног приступа
NIST 800-53r5: AC-2, AC-6, AC-17, IA-2
ЦИС верзија 8: 5, 6

***

3) Откривање и заустављање крађе SaaS података (јер изнуда зависи од крађе)

У скорашњим извештајима о инцидентима, актер је тврдио да је украден са више пословних платформи и скупова података. Без обзира на то да ли је свака тврдња тачна или не, образац је доследан: када се једном придруже SSO-у, они преузимају податке из SaaS API-ја и продавница за сарадњу.

Препоруке

A. Инструментални SaaS и евиденције идентитета као што је „телеметрија крајњих тачака“
  • Централизујте евиденције пријављивања + евиденције ревизије и евиденције ревизије SaaS-а (M365/SharePoint/OneDrive, ServiceNow, итд.) у свој SIEM.
  • Упозорење о:
  1. Догађаји регистрације/ресетовања новог MFA фактора
  2. Регистрација новог уређаја
  3. Креирање нових OAuth апликација или необично давање сагласности
  4. Неуобичајена масовна преузимања, масовни приступ датотекама или атипични API позиви
  5. Нова правила прослеђивања / промене делегирања поштанских сандучића (често упарене са монетизацијом у стилу BEC-а)

 

Б. Поставите заштитне ограде на приступ API-ју
  • Ограничите и пратите API токене, принципале услуга и интеграције трећих страна.
  • Захтевајте одобрење администратора за OAuth опсеге са високим привилегијама.
  • Редовно ротирајте тајне податке и проверавајте дозволе апликација.

ATT&CK: Крађа преко веб сервиса; Обрасци злоупотребе облачног налога / OAuth-а
D3FEND: Детекција крађе података, праћење акредитива и токена, анализа API саобраћаја
НИСТ 800-53р5: АУ-2, АУ-6, СИ-4
CIS v8: 8 (Управљање дневником ревизије), 13 (Надгледање и одбрана мреже)

***

4) Смањите радијус експлозије: претпоставите да ће један SaaS налог на крају пасти

Препоруке

  • Сегментирајте приступ подацима користећи најмање привилегије и приступ заснован на улогама; уклоните приступ „свима“ у еквивалентима SharePoint/Teams/Drive.
  • Примените спречавање губитка података за осетљиве класе података (PHI/PII, уговори, истраживање, IP адреса уређаја).
  • Шифрујте и означите осетљиве документе; захтевајте додатне контроле за преузимање/дељење.

ATT&CK: Прикупљање из информативних репозиторијума
D3FEND: Класификација података, Управљање приступом подацима, DLP
НИСТ 800-53r5: АЦ-3, МП-4, СЦ-28
CIS v8: 3 (Заштита података), 6

***

5) Спремност за инцидент специфична за изнуду путем извлачења

Недавне жртве у предузећима су напоменуле да су активирале IR процедуре и ангажовале стручњаке/органе за спровођење закона – што је добра основа. За инциденте типа ShinyHunters, брзина је важна јер се цурење може догодити брзо након што се добије SaaS приступ.

Препоруке

  • „Приручници за обуздавање SaaS-а“ пре фазе:
    • Онемогући корисничке сесије / опозови токене за освежавање
    • Ресетујте акредитиве и безбедно поново региструјте MFA
    • Ставите у карантин или онемогућите сумњиве OAuth апликације / принципале услуга
    • Прегледајте и очистите правила/делегације злонамерних поштанских сандучића
  • Одржавајте „вишеслојни одговор“ за идентитете високог ризика (руководиоци, ИТ, безбедност, финансије).
  • Осигурати да су правни/комуникациони путеви спремни за сценарије изнуде (праћење места цурења, преговарачки став, обавештења регулатора где је применљиво).

АТТ&ЦК: Утицај (изнуда), ексфилтрација
D3FEND: Одговор на инцидент, опозив акредитива, закључавање налога
NIST 800-53r5: IR-4, IR-5, IR-6
CIS v8: 17 (Одговор на инциденте)

***

6) Додајте циљану обуку: „радна снага отпорна на вишинг“, а не генеричка обука за фишинг

Препоруке

  • Покрените симулације вишинга усмерене на:
    • Особље службе за помоћ (највећа контролна тачка)
    • Руководиоци и ВИП особе (заједничке мете)
    • Новозапослени и радници на даљину
  • Научите конкретне сценарије одбијања и кораке верификације:
    • „Позваћу вас поново преко броја који имам у евиденцији.“
    • „Не ресетујемо вишеструку информативну ангажману (MFA) за долазне позиве.“
  • Објавите једностраничну подсетник „Индикатори преузимања SSO“ за кориснике и ИТ.

ATT&CK: Социјални инжењеринг
D3FEND: Обука за безбедносну свесност и вештине
НИСТ 800-53r5: АТ-2
CIS v8: 14 (Обука за безбедносну свесност и вештине)

***

Практична кратка листа „урадите ово прво“ (30–60 дана)

  1. Вишеструки фајл ангажман (MFA) отпоран на фишинг за администраторе + службу за помоћ + руководиоце; ограничите слабе резервне MFA методе.
  2. Ојачање ресетовања службе за помоћ (верификовани повратни позив + без ресетовања истог позива + контроле слања захтева).
  3. Основна линија условног приступа Entra/SSO (блокирање застареле аутентификације; захтевање компатибилног уређаја за администраторске и осетљиве апликације).
  4. Детекција SaaS exfil-а: упозорење о аномалијама масовног преузимања/API-ја + промене OAuth сагласности + догађаји MFA ресетовања.
  5. Приручник за опозивање токена/сесије тестиран у вежбама за стоним рачунарима.

 

***

TLP:WHITE: У складу са стандардним правилима о ауторским правима, информације са TLP:WHITE могу се дистрибуирати без ограничења.

 

Разоткривање сајбер пошасти: Зашто ваши болнички подаци никада нису заиста безбедни
Стање безбедности идентитета у ери вештачке интелигенције