MITRE зламали через вразливості нульового дня в Ivanti

У січні 2024 року організація MITRE, некомерційна корпорація, що наглядає за дослідженнями, фінансованими федеральним бюджетом США, зазнала серйозного зламу. Цей інцидент був зумовлений вразливостями нульового дня в продуктах ІТ-постачальника Ivanti.

Хакери провели розвідувальні дії в мережі MITRE, використовуючи одну з VPN-мереж та дві вразливості в Ivanti Connect Secure. Відомо, що щонайменше десять клієнтів Ivanti також постраждали від цих кібератак. Незважаючи на те, що MITRE відкрито не повідомила, хто стоїть за інцидентом, відповідальність за експлуатацію цих вразливостей приписують китайським хакерам.

Зловмисники скомпрометували пристрій Ivanti Connect Secure в периметрі мережі і здійснили бічне переміщення в інфраструктуру VMware MITRE до того, як було виявлено і повідомлено про вразливості нульового дня. Організація оперативно “закрила вхідні двері” за рекомендаціями Ivanti та Агентства з кібербезпеки та безпеки інфраструктури (CISA), але вже було занадто пізно.

У своєму блозі MITRE пояснила, що хакери використовували вразливості Ivanti для подальшого просування в мережі, захопивши скомпрометований обліковий запис адміністратора. Вони застосували комбінацію складних бекдорів і веб-оболонок для забезпечення стійкості та отримання облікових даних.

Розслідування інциденту все ще триває, і MITRE розцінює його як показову історію. Адже навіть організації з високим рівнем кіберзахисту можуть стати жертвами складних атак.

Джейсон Провідейкс, президент і головний виконавчий директор MITRE, зазначив: «Жодна організація не застрахована від таких типів кібератак, навіть та, що прагне підтримувати найвищий рівень кібербезпеки». Він підкреслив важливість своєчасного інформування про інцидент для дій в інтересах суспільства та просування кращих практик.

На основі цього досвіду MITRE пропонує такі кроки для підвищення рівня кібербезпеки:

• Дотримання принципу “безпеки за задумом”. Апаратне та програмне забезпечення повинно бути захищеним та безпечним одразу після випуску.
• Розвиток безпечних ланцюгів постачання. Слід використовувати можливості екосистеми програмної специфікації матеріалів для кращого розуміння потенційних загроз, які можуть виникнути у верхніх рівнях програмних систем.
• Впровадження архітектури Zero Trust. Застосування не тільки багатофакторної автентифікації, але й мікросегментації мереж для додаткового рівня захисту.
• Взаємодія зі зловмисниками як рутинна частина кіберзахисту. Регулярна взаємодія з потенційними противниками є ключовою для не тільки виявлення, але й для стримування нових загроз.

Впровадження цих стратегій дозволить підприємствам крок за кроком покращувати стан кібербезпеки на глобальному рівні.

Обмін досвідом та демонстрація таких кейсів є важливим аспектом для глобальної кібербезпеки, оскільки чим більше ми знаємо про загрози тим легше боротися з ними.