Дело №3

Red Team-проект: от фишингового письма до утечки персональных данных, исходного кода и договоров

• Объект анализа: внешний Red Team-проект по оценке защищённости инфраструктуры заказчика
• Категория: оценка возможности получения несанкционированного доступа к цифровым активам организации
• Статус: проект завершён, цепь действий зафиксирована

Заключение о том, как одно фишинговое письмо и ряд организационных упущений привели к компрометации персональных данных сотрудников, исходного кода и корпоративных договоров заказчика.

1. Общая характеристика проекта

Установлено, что проект проводился в формате внешнего нарушителя: доступ во внутреннюю сеть организации отсутствовал. Из согласованных с заказчиком действий:

• целевой фишинг
• физическое проникновение на территорию организации
• атаки на Wi-Fi сеть
• анализ ресурсов, доступных из сети Интернет
• продвижение по внутренней сети

Задача — продемонстрировать заказчику возможность получения доступа к цифровым активам организации и зафиксировать всю цепь действий аналитиков RT Protect OffSec.

2. Ход атаки: от фишинга до критичных активов

В ходе проекта зафиксирована следующая цепь действий:

• Точка входа: фишинг. По результатам разведки по открытым источникам собран пул почтовых адресов сотрудников; атакой по времени отклика на Outlook Web Access отсеяны недействительные записи. По поддельной странице авторизации получены доменные учётные данные одного сотрудника (user1), с помощью которых через незащищённый API-обработчик сервиса бронирования мест получен доступ к персональным данным всех сотрудников организации.
• Физическое проникновение. Под легендой кандидата на собеседование аналитик прошёл в офис и, воспользовавшись тейлгейтингом, занял уединённое помещение для дальнейшей работы.
• Доступ во внутреннюю сеть. Учётные данные user1 позволили подключиться к корпоративному Wi-Fi и пройти аутентификацию на внутреннем портале — без второго фактора и разделения гостевого и рабочего доступа.
• Продвижение по сети. Скомпрометирован хост с широким RDP-доступом и связностью со всей внутренней инфраструктурой; на него установлен C2-агент, что обеспечило доступ к сети извне. В открытом git-каталоге восстановлен пароль user2, с помощью которого скомпрометирован ряд хостов в другой подсети.
• Доступ к исходному коду. На одном из скомпрометированных хостов обнаружен пароль user3, давший доступ к корпоративному GitLab и более чем 100 000 строк исходного кода.
• Доступ к договорам. С использованием учётной записи user2 скомпрометирован ещё один хост, в истории команд которого обнаружены ключи доступа к S3-хранилищу; из него выгружено свыше 300 договоров заказчика без логирования доступа.

3. Основные причины успеха атаки

• отсутствие многофакторной аутентификации (MFA)
• использование одного пароля в несвязанных системах: почта, Wi-Fi, портал
• избыточные права учётных записей и общедоступный узел с широкой сетевой связностью
• хранение секретов без шифрования: открытые .git-каталоги, рабочие файлы, .bash_history
• отсутствие защиты от password spraying и сегментации сети
• отсутствие мониторинга, позволившее незаметно выгрузить данные

4. Рекомендации по устранению

• включить MFA на почте, VPN, Wi-Fi и порталах; перевести Wi-Fi на 802.1X (EAP-TLS)
• отказаться от повторного использования паролей в разных системах, сократить избыточные права до минимально необходимых, сегментировать сеть
• организовать хранение секретов в менеджере паролей, удалить секреты из файлов и истории команд, закрыть открытые .git-каталоги
• сменить учётные данные скомпрометированных учётных записей; для S3 внедрить временные ключи и логирование доступа
• настроить блокировки и мониторинг password spraying, завести алерты в SIEM на всю цепочку атаки — от почты до S3