Jerabek György: IT-biztonsági szemelvények - NKI-tájékoztatás, riasztás és sajtószemle (Jegyző, 2020/4., 28-30. o.)

A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézete (NKI) heti rendszerességgel összeállít egy válogatást az adott hét IT-biztonságot érintő híreiből. A sajtószemle mellett tájékoztatást és riasztásokat is küld, ha úgy ítéli, hogy azok olyan súlyú fenyegetések, amelyeket érdemes közzétenni az érintetti körben.

A legszerencsésebb (és utólag mindig kiderül, a legköltséghatékonyabb) megelőzni a bajt: azok a szervezetek, ahol az információbiztonsági felelős élő kapcsolatot ápol a rendszer üzemeltetőivel, fejlesztőivel és használóival, megerősödött immunrendszerükkel könnyebben állnak ellen a vírusoknak, zsarolási kísérleteknek és egyéb rosszindulatú kódok mesterkedéseinek.

Ismét az elmúlt időszak érdekességeiből válogattunk egy csokrot, de akiknek az érdeklődését felkeltettük, a teljes anyagot is eléri az NKI oldaláról: https://nki.gov.hu/it-biztonsag/kiadvanyok/sajtoszemle/

Időrendben visszafelé haladva (2020. szept. 1.) egy riasztással kezdünk:

"Riasztás az interneten terjedő, zsaroló hangvételű levelekkel kapcsolatban

A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézet ismételt riasztást ad ki a Sextortion SPAM kampány keretein belül az interneten terjedő, magyar nyelvű, zsaroló hangvételű levelekkel kapcsolatban, azok számossága, valamint az érintett szervezetek és címzetti köre miatt.

Az elmúlt napokban ismételten megszaporodtak az olyan zsaroló hangvételű levelek, melyek állami és önkormányzati szerveket, közintézményeket és magánszemélyeket egyaránt megcéloznak. Az NBSZ NKI jelenlegi ismeretei szerint a Sextortion SPAM kampány mostani hullámát képező levelekre jellemző, hogy az üzenetek szövegezése - formázásbeli eltéréseket leszámítva - azonos, tört magyarsággal íródtak, tartalmuk szerint a címzett felnőtt tartalmú oldalakat látogatott, és a látogatása közben végzett tevékenységéről felvétel készült, melyet a zsaroló eljuttatja a címzett ismerőseinek, amennyiben nem fizeti ki a kért összegű váltságdíjat."

Míg a korábbi Sextortion levelek magyarítása hagyott némi kívánnivalót maga után, a most körbeküldött változatról már nem azonnal vehető le, hogy fordítóprogrammal generálták. Találunk persze olyan elemeket benne, amelyek alapján több mint gyanús, hogy ez a szöveg nem csak nekünk került kiküldésre és a benne foglaltak bárkire vonatkozhatnak, aki valaha felnőtt tartalmat böngészett a világhálón. Semmiképpen sem javasolt bitcoint vásárolni és ilyen módon bátorítani az elkövetőket. Csak józan megfontolás alapján: milyen érvényesíthető garanciát kínálhat a zsaroló, amely biztosítja, hogy a váltságdíj megfizetését követően valóban megszabadulhatunk tőle? Nem kell kiberbiztonsági szakembernek lennünk, hogy ebbe a csapdába ne essünk bele!

Egy nappal a fenti riasztást megelőzően (2020. aug. 31.) került kiküldésre ez a levél az NKI-tól:

"Riasztás megnövekedett Emotet aktivitás kapcsán

A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézet (NBSZ NKI) ismételt riasztást ad ki a megnövekedett, Emotet malware-hez köthető káros tevékenység kapcsán. A korábban kiadott riasztásunkat követően több magyarországi e-mail-fiók kompromittálódott, azokról az Emotet malware oly módon került terjesztésre, hogy a megfertőzött e-mail-fiók kapcsolati listájára SPAM levelek formájában az Emotet malware által generált üzenetek kerültek továbbküldésre, melyek jellemzően káros csatolmányt is tartalmaztak."

A teljes üzenetben megtalálhatóak azok a javaslatok, amelyek segítenek megelőzni, hogy a fiókjaink kompromittálódjanak: milyen tevékenységek kerülendőek, melyek javasoltak, ha ilyen jellegű csatolmányt nyitottunk meg, vagy még csak gondolkodunk, hogy megtegyük-e, illetve arról is olvashatunk, hogy rendszereink kitettségét milyen beállítások csökkent(het)ik, hogyan mérsékelhetjük a fertőzés kockázatát. (Igen, mérsékelhetik/csökkenthetik: nem szüntetik meg! Hacsak nem tiltjuk meg az elektronikus levelezést a szervezeten belül, akkor maradványkockázatokkal számolnunk kell.)

A 35. heti sajtószemléből emelném ki ezt a hírt:

"Óvatosan a Google Drive-fájlok letöltésével! (thehackernews.com)

Egy rendkívül veszélyes biztonsági hibára derült fény a Google Drive szolgáltatásban, amely lehetővé teheti, hogy rosszindulatú felhasználók egy teljesen legitim fájl »mögé« tetszőleges, akár káros kódot tartalmazó fájlt rejtsenek. A probléma a »Verziók kezelése« funkciót érinti."

Használok Google Drive-ot magáncélra, és mérlegelve annak kockázatát, hogy egy ingyenes szolgáltatás milyen mértékű kártérítésre jogosít fel, ha az oda feltöltött adataimat nem megfelelően kezelik. A hivatalos dokumentumokat vagy olyan magánjellegű állományokat, amelyek elvesztése érzékenyen érintene, fizetős vagy privát felhőbe töltöm. Igen, fizetek érte, mert átéltem már, hogy milyen érzés kiállni a dobogóra és a rám szegeződő megannyi szempár kereszttüzében elolvadni a szégyentől, mert

- 28/29 -

az előadásra előkészített anyagot pillanatnyilag nem lehet elérni. Előtte és utána is rendelkezésre állt, csak akkor nem, amikor szükségem lett volna rá. De visszatérve a cikkben alkalmazott trükkös technikára: a bizalom a rendszer által kínált kényelmi szolgáltatásokban mindaddig töretlen, amíg azokra nincs valóban szükségünk.

A 34. heti hírlevél vezető cikke kifejezetten a közigazgatási szektor érintettségére utal:

"Több ezer kanadai kormányzati fiókot ért támadás (securityweek.com)

Kanadai hatóságok szombati bejelentése szerint támadók megpróbáltak hozzáférni több, mint 9000 online kormányzati ügyintézésre szolgáló GCKey fiókhoz. A GCKey kormányzati elektronikus szolgáltatásokhoz nyújt hozzáférést és az ország több mint 30 kormányzati ügynöksége használja, köztük a kanadai adóhatóság is (Canada Revenue Agency - CRA). Esetükben mintegy 5500 felhasználói fiók érintett, amelyeket az adófizetők adatai védelmében átmenetileg felfüggesztettek. Az incidens kivizsgálása a szövetségi rendőrség bevonásával megkezdődött. A kanadai állami csatorna CBC szerint augusztus eleje óta több kanadai állampolgár is jelentette, miszerint a fiókjukban szereplő banki információk módosításra kerültek."

Kényelmes és elkerülhetetlen a közigazgatásban az elektronikus ügyintézés (a COVID még fel is erősítette és meg is gyorsította), a fizikai kontaktust elkerülő intézési módok alkalmazása. Kanadában példaértékű az adatvédelmi és az IT-biztonsági szereplők hozzáállása és tudatossága, ennek ellenére bekövetkezett a cikkben leírt biztonsági esemény. Érdemes figyelemmel kísérni ezt az ügyet és leszűrni a tanulságait: hogyan előzhetjük meg, hogyan csökkenthetjük a kitettségünket és milyen módon építhetünk ki olyan monitoringrendszert, amely korábban riaszt - még azt megelőzően, hogy ilyen számban sikerül hozzáférést szerezni a védendő adatokhoz.

A 33. heti szemléből több cikket is érdekesnek találtunk:

"TeamViewer felhasználók figyelem: frissítsenek a legutóbbi verzióra! (thehackernews.com)

TeamViewer felhasználók számára erősen javasolt a CVE 2020-13699 számú sérülékenységet javító biztonsági frissítés telepítése, ugyanis a hiba lehetővé teheti, hogy egy támadó egy viszonylag könnyen kivitelezhető támadás során ellopja jelszavukat."