Cisco подтвердила взлом, связанный с группировкой Yanluowang. Инцидент произошёл 24 мая 2022 года. Злоумышленники использовали голосовой фишинг (vishing), имитируя доверенные организации, и убедили сотрудника принять push-уведомление MFA. В результате они получили доступ к VPN.

Разберём цепочку атаки, что украли и как защищаться от подобных схем.

Что произошло

По данным Cisco, злоумышленники позвонили сотруднику, представились доверенной организацией и убедили его принять запрос многофакторной аутентификации, инициированный ими. После этого они получили доступ к VPN от имени пользователя.

Компания подключила CSIRT и Talos. Расследование показало, что учётные данные сотрудников были скомпрометированы. Сообщалось о 2,75 ГБ украденных данных.

# проверить журналы VPN (пример для AnyConnect/OpenVPN)
journalctl -u openvpn -b | grep -iE "auth|login" | tail -40
# на Cisco ASA/FTD смотрите syslog
# show vpn-sessiondb logoff

Голосовой фишинг

Vishing — это фишинг по телефону. Злоумышленник создаёт срочность: «подтвердите вход», «служба безопасности», «ваш аккаунт заблокирован». Жертва выполняет действие, чтобы решить проблему.

В случае MFA push атака особенно эффективна: пользователь видит реальный запрос и подтверждает его, думая, что это его собственный вход.

# пример проверки сессий (зависит от сервиса)
# в Microsoft 365: Entra ID -> Sign-in logs
# в Google Workspace: Security -> Investigation tool

Почему MFA push уязвим

Простой push «Подтвердить/Отклонить» не показывает контекст. Пользователь не знает, откуда запрос. Злоумышленник может звонить и просить подтвердить.

Решения: number matching (ввод числа с экрана), FIDO2/WebAuthn, push с геолокацией и IP. Они снижают риск, но не устраняют социальную инженерию полностью.

# включить number matching в Entra ID (пример через портал)
# Authentication methods -> Microsoft Authenticator -> Number matching
# проверить политики
# Conditional Access -> Require MFA

Действия после компрометации

  1. Отозвать сессии и токены пользователя.
  2. Сменить пароль и перевыпустить MFA.
  3. Проверить журналы доступа и VPN.
  4. Изолировать затронутые системы.
  5. Проверить, не созданы ли новые учётные записи.
  6. Уведомить службу безопасности и регуляторов при необходимости.
  7. Провести разбор и обновить процедуры.
# пример отзыва сессий (Azure AD)
# Revoke-AzureADUserAllRefreshToken -ObjectId 
# проверить входы
# Get-AzureADAuditSignInLogs -Top 50

Не ограничивайтесь сменой пароля: токены и сессии могут остаться активными.

Защита сотрудников

Обучение должно включать сценарии звонков, а не только письма. Сотрудники должны знать: служба поддержки не просит подтвердить MFA по телефону.

Введите процедуру проверки: если звонящий торопит и просит код, положите трубку и перезвоните по официальному номеру.

# пример политики: запрет push без number matching
# и обязательный FIDO2 для админов

Технические меры

  • FIDO2-ключи для привилегированных账户.
  • Number matching для всех пользователей.
  • Conditional Access: ограничение стран и устройств.
  • Мониторинг аномальных входов.
  • Сегментация сети и минимальные привилегии.
  • Ограничение VPN по устройству и географии.
# проверить политики MFA (пример)
# Azure AD -> Authentication methods -> Policies
# и Conditional Access -> Named locations

Даже с MFA злоумышленник может получить доступ, если пользователь подтвердит запрос. Поэтому важна комбинация факторов.

Что украли

Сообщалось о 2,75 ГБ данных. Cisco заявила, что расследование не выявило доказательств воздействия на продукты или услуги. Тем не менее утечка корпоративных данных требует анализа: что именно попало в руки злоумышленников и какие риски это создаёт для клиентов.

# инвентаризация данных: где хранятся, кто имеет доступ
# и что могло быть скопировано

Уроки

Атака показывает, что периметр — это люди и процессы, а не только файрвол. Сильный технический контроль не помогает, если сотрудника убедили подтвердить вход.

Организациям стоит пересмотреть MFA, обучение и мониторинг. Атаки с использованием украденных сессий становятся нормой.

# проверить, включены ли оповещения о рискованных входах
# и кто их получает

Хронология инцидента

Cisco сообщила, что атака произошла 24 мая, а информация о ней появилась позже, после завершения первичного разбора. Злоумышленники получили доступ к VPN, но компания заявила, что не нашла доказательств воздействия на продукты и услуги.

Утечка оценивается примерно в 2,75 ГБ. Даже если данные не критичны, они могут содержать внутренние документы, схемы сети и переписку — всё, что помогает готовить следующие атаки.

# проверить, какие данные могли быть доступны
# инвентаризация файловых ресурсов и прав
find /srv -maxdepth 2 -type d 2>/dev/null | head -20
# журналы доступа к файловым шарам
# на Windows: Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 5140}

Почему важен контекст MFA

Пользователь, получивший push, видит только запрос. Если ему одновременно звонят и говорят «подтвердите, это проверка», он подтверждает. Защита должна давать контекст: какое приложение, какой IP, какая страна.

Number matching решает часть проблемы: злоумышленник не знает число, которое видит пользователь. Но если он убедит пользователя продиктовать число, защита снова падёт. Поэтому обучение остаётся обязательным.

# пример проверки входов в Microsoft 365 (PowerShell)
# Connect-MgGraph -Scopes "AuditLog.Read.All"
# Get-MgAuditLogSignIn -Top 20 | Select-Object CreatedDateTime, UserPrincipalName, IpAddress, Status

Настройте оповещения о входах из новых стран и с новых устройств. Это даёт шанс заметить компрометацию до того, как злоумышленник закрепится.

Сегментация VPN

Даже легитимный VPN-доступ не должен открывать всю сеть. Разделите ресурсы на сегменты и выдавайте доступ по принципу минимальных привилегий. Тогда украденная сессия даст меньше.

# посмотреть маршруты, которые выдаёт VPN
ip route
# проверить, куда можно достучаться
for h in 10.0.0.1 10.0.10.1 10.0.20.1; do ping -c 1 -W 1 "$h" >/dev/null && echo "$h up"; done

Ограничьте административные интерфейсы отдельным сегментом и требуйте для них FIDO2. Это удорожает атаку и снижает вероятность массового ущерба.

Итог

Cisco подтвердила взлом через vishing и подтверждённый MFA push, что дало доступ к VPN. Украдено около 2,75 ГБ данных. Защита требует FIDO2, number matching, обучения сотрудников и мониторинга сессий. После инцидента отзывайте токены, а не только меняйте пароли.

Насколько публикация полезна?

Нажмите на звезду, чтобы оценить!

Средняя оценка 0 / 5. Количество оценок: 0

Оценок пока нет. Поставьте оценку первым.

Поделиться: Telegram ВКонтакте