Mi CFO recibió un correo electrónico de un director de una institución financiera que informa que todo el tráfico (entrante y saliente) de ciertas direcciones IP debe estar bloqueado en el firewall. El director de la institución financiera fue asesorado por su departamento de TI para enviar este correo. La lista de direcciones (aproximadamente 40) estaba en un PDF adjunto, protegido por contraseña. La contraseña fue enviada a mi CFO por mensaje de texto.
La única parte de esto que me parece extraña es que la C F O está involucrada en todo esto. Los CTO (o subordinados) tratan habitualmente con la ciberinteligencia y el intercambio de información entre instituciones y agencias nacionales de inteligencia (FBI, CERT, etc.).
Inicialmente, pensé que era un intento malicioso de lograr que nuestro CFO abra un PDF infectado, o un intento de phishing / caza de ballenas, pero parece legítimo. Hemos hablado con el departamento de TI en la FI y dicen que es genuino, pero no pueden (no) proporcionar más información. Debido a la naturaleza de la relación entre mi empresa y la IF, el rechazo no es realmente una opción. Por lo que puedo ver, la mayoría de las direcciones IP parecen pertenecer a compañías de tecnología.
Su diligencia merece un aplauso; Ese es un vector plausible.
No especifica qué son estas "compañías tecnológicas", pero si son cosas como AWS, DigitalOcean, Linode, Vultr, Choopa, Hetzner, OVH, Velia, et al. entonces debe saber que estas empresas de tecnología (y muchas otras más pequeñas, incluidas las seedboxes de torrent) están implicadas de forma rutinaria en redes de bots, malware y fraude financiero. Cualquier cosa que ofrezca servicios de alojamiento compartido o VPS es una posible plataforma para lanzar ataques. Puedo decirle por experiencia directa que muchos de los informes de HSA, W2, fraude de impuestos y otras estafas como Krebs informes se lanzan desde servicios de VPS baratos como estos.
¿Este enfoque te parece sospechoso? ¿Hay alguna ingeniería social aquí?
La información sobre incidentes actuales puede compartirse formalmente (mediante publicación en las listas de correo de US-CERT, entre instituciones en DIBNET, FS-ISAC, etc.) o mediante extraños esquemas de intercambio de PDF entre ejecutivos que se originaron de lo que se suponía que era una punta del FBI no revelable, no atribuible. Sucede.
Cuando el FBI es la fuente de origen, generalmente proporcionan poco o ningún detalle o contexto y, por lo tanto, los superiores no pueden recibir bien la sacudida del árbol y se niegan a tomar medidas sin más información. Sigue aguantando y terminarás como la mierda en Equifax que retrasó el parcheo de Struts antes de la violación; Fue la primera persona en ser lanzada debajo del autobús. Al parecer, tiene un acuerdo comercial que le obliga a implementar algunos bloques de IP basados en la inteligencia de amenazas recibida. Solo hazlo.
Una vez más, la única parte sospechosa para mí es que el CFO fue el destinatario. Pero eso podría deberse a la naturaleza de una relación existente entre él y ese director.
Es completamente posible que alguien esté tratando de causar el caos al hacer que bloquee las direcciones IP de las compañías con las que hace negocios, pero parece irreal: requiere mucho conocimiento interno y esfuerzo para lograr una pequeña interrupción en el peor de los casos.
¿Cuál podría ser la naturaleza de la amenaza?
El director de la institución financiera X fue informado de un incidente. Probablemente fueron comprometidos por una o más de esas 40 IP o se les informó de una amenaza de una fuente externa. Pueden o no haber observado evidencia de que su compañía también puede ser un objetivo potencial, ya sea a través de las credenciales que vieron intentadas, los puntos finales solicitados o los datos exfiltrados. Consideraron adecuado compartir esta información con su empresa para que pueda tomar medidas proactivas.
Entre tú y yo, no estoy desconcertado por este escenario. Este es el tipo de cosas que vengo a encontrar en mi buzón de correo todos los lunes (y especialmente en los días posteriores a días festivos nacionales: a los atacantes extranjeros les encanta esperar hasta que sepan que nadie estará en la oficina por unos días. semana ...).
Lo que hago personalmente con estas listas antes de implementar bloques es ejecutarlos a través de nuestros propios registros y ver qué actividad pueden haber realizado los mismos actores con nuestros propios sistemas. Busque actividad por cualquier IP dentro de las mismas subredes; Es posible que las direcciones IP suministradas no sean las mismas que podrían haberle dirigido ya. A veces, se descubre evidencia de compromiso que no estaba dentro del alcance de la inteligencia suministrada.