Alerta (AA22-074A) Atores cibernéticos patrocinados pelo Estado russo obtêm acesso à rede explorando protocolos de autenticação multifator padrão e a vulnerabilidade “PrintNightmare”

O FBI e a CISA recomendam que as organizações permaneçam cientes da ameaça de agentes cibernéticos patrocinados pelo Estado que exploram protocolos MFA padrão e exfiltram informações confidenciais. As organizações devem:

• Aplique a MFA para todos os usuários, sem exceção. Antes de implementar, as organizações devem revisar as políticas de configuração para proteção contra cenários de “falha aberta” e reinscrição.
• Implemente recursos de tempo limite e bloqueio em resposta a repetidas tentativas de login com falha.
• Certifique-se de que as contas inativas sejam desabilitadas uniformemente no Active Directory, sistemas MFA, etc.
• Atualize o software, incluindo sistemas operacionais, aplicativos e firmware em ativos de rede de TI em tempo hábil. Priorize a correção de vulnerabilidades exploradas conhecidas, especialmente vulnerabilidades críticas e altas que permitem a execução remota de código ou negação de serviço em equipamentos voltados para a Internet.
• Exija que todas as contas com logins de senha (por exemplo, conta de serviço, contas de administrador e contas de administrador de domínio) tenham senhas fortes e exclusivas. As senhas não devem ser reutilizadas em várias contas ou armazenadas no sistema onde um adversário possa ter acesso.
• Monitore continuamente os logs de rede em busca de atividades suspeitas e tentativas de login não autorizadas ou incomuns.
• Implemente políticas de alerta de segurança para todas as alterações em contas/grupos habilitados para segurança e alerte sobre eventos suspeitos de criação de processos ( ntdsutil, rar, regedit, etc.).

Observação: se houver suspeita de comprometimento do controlador de domínio, uma redefinição de senha em todo o domínio — incluindo contas de serviço, contas de sincronização do Microsoft 365 (M365) e — krbtgtserá necessária para remover o acesso dos atores. (Para obter mais informações, consulte https://docs.microsoft.com/en-us/answers/questions/87978/reset-krbtgt-password.html). Considere solicitar suporte de uma organização de TI terceirizada para fornecer experiência no assunto, garantir que o ator seja erradicado da rede e evitar problemas residuais que possam permitir a exploração subsequente.  

O FBI e a CISA também recomendam que as organizações implementem as recomendações listadas abaixo para reduzir ainda mais o risco de atividade cibernética maliciosa.

Práticas recomendadas de segurança

• Implante a solução de senha do administrador local (LAPS), imponha a assinatura do bloco de mensagens do servidor (SMB), restrinja os privilégios administrativos (usuários, grupos de administradores locais, etc.) e revise materiais confidenciais no SYSVOLcompartilhamento do controlador de domínio.
• Habilite políticas de log aprimoradas, imponha o log do PowerShell e garanta que a detecção e resposta de antivírus/endpoint (EDR) seja implantada em todos os endpoints e habilitada.
• Verifique rotineiramente se não ocorreram modificações não autorizadas do sistema, como contas adicionais e chaves Secure Shell (SSH), para ajudar a detectar um comprometimento. Para detectar essas modificações, os administradores podem usar um software de monitoramento de integridade de arquivos que alerta um administrador ou bloqueia alterações não autorizadas no sistema.

Práticas recomendadas de rede

• Monitore os logs de acesso remoto/RDP e desative as portas de acesso remoto/RDP não utilizadas.
• Negue atividades de entrada atípicas de serviços de anonimização conhecidos, para incluir serviços VPN comerciais e The Onion Router (TOR).
• Implemente políticas de listagem para aplicativos e acesso remoto que só permitem que os sistemas executem programas conhecidos e permitidos sob uma política de segurança estabelecida.
• Audite regularmente contas de usuários administrativos e configure o controle de acesso sob o conceito de privilégio mínimo.
• Faça auditoria regularmente nos logs para garantir que as novas contas sejam usuários legítimos.
• Escaneie as redes para portas abertas e de escuta e mediar aquelas que são desnecessárias.
• Mantenha registros históricos de atividade de rede por pelo menos 180 dias, em caso de suspeita de comprometimento.
• Identifique e crie backups offline para ativos críticos.
• Implementar segmentação de rede.
• Atualize automaticamente as soluções antivírus e antimalware e realize verificações regulares de vírus e malware.

Práticas recomendadas para ambiente de trabalho remoto

Com o aumento dos ambientes de trabalho remoto e o uso de serviços VPN, o FBI e a CISA incentivam as organizações a implementar as seguintes práticas recomendadas para melhorar a segurança da rede:

• Atualize regularmente VPNs, dispositivos de infraestrutura de rede e dispositivos usados ​​para ambientes de trabalho remotos com os mais recentes patches de software e configurações de segurança.
• Quando possível, implemente a autenticação multifator em todas as conexões VPN. Os tokens de segurança físicos são a forma mais segura de MFA, seguidos pelos aplicativos autenticadores. Quando a MFA não estiver disponível, exija que os funcionários envolvidos no trabalho remoto usem senhas fortes.
• Monitore o tráfego de rede para protocolos não aprovados e inesperados.
• Reduza as possíveis superfícies de ataque descontinuando os servidores VPN não utilizados que podem ser usados ​​como ponto de entrada para invasores.

Práticas recomendadas de conscientização do usuário

Atores cibernéticos frequentemente usam métodos não sofisticados para obter acesso inicial, que muitas vezes pode ser mitigado por uma maior conscientização dos funcionários sobre indicadores de atividade maliciosa. O FBI e a CISA recomendam as seguintes práticas recomendadas para melhorar a segurança das operações dos funcionários ao realizar negócios:

• Fornecer conscientização e treinamento do usuário final. Para ajudar a evitar fraudes direcionadas de engenharia social e spearphishing, certifique-se de que funcionários e partes interessadas estejam cientes de possíveis ameaças cibernéticas e métodos de entrega. Além disso, forneça aos usuários treinamento sobre princípios e técnicas de segurança da informação.
• Informe os funcionários sobre os riscos associados à publicação de informações detalhadas sobre carreira em sites de redes sociais ou profissionais.
• Garanta que os funcionários estejam cientes do que fazer e com quem entrar em contato quando virem atividades suspeitas ou suspeitarem de um ataque cibernético, para ajudar a identificar ameaças com rapidez e eficiência e empregar estratégias de mitigação.

Informação solicitada

Todas as organizações devem relatar incidentes e atividades anômalas ao FBI por meio do escritório de campo local do FBI ou do CyWatch 24/7 do FBI em (855) 292-3937 ou [email protected] e/ou Centro de Operações 24/7 da CISA em [email protected] ou (888) 282-0870.

APÊNDICE A: Táticas e Técnicas do Ator de Ameaça

Consulte a tabela 1 para ver as táticas e técnicas dos agentes de ameaças identificadas neste CSA. Consulte o ATT&CK for Enterprise para todas as táticas e técnicas de agentes de ameaças referenciadas.

Tabela 1: Táticas e técnicas do ator de ameaça MITRE ATT&CK