Uwaga na złośliwe aktualizacje oprogramowania

Przeczytaj także: Kaspersky: phishing żeruje na pandemii, na co uważać?

Dobrym przykładem na to, jak cyberprzestępcy wykorzystują naszą niefrasobliwość może być chociażby niedawny incydent związany w wyciekiem danych z baz firmy Equifax - jednego z trzech największych na świecie przedsiębiorstw zajmujących się analizą kredytową i doradztwem. W niepowołane ręce dostały się wówczas m.in. nazwiska, daty urodzenia oraz numery ubezpieczenia społecznego niemal połowy Amerykanów. Hakerom udało się złamać zabezpieczenia Equifaxu poprzez istniejącą od wielu miesięcy lukę w zabezpieczeniach w Apache Struts.

Takich przykładów na złamanie zabezpieczeń poprzez luki, dla których od miesięcy istnieją aktualizacje, można mnożyć. Większość administratorów odpowiedzialnych za bezpieczeństwo IT doskonale sobie zdaje sprawę z problemu i gdy tylko pojawiają się stosowne aktualizacje bezpieczeństwa, od razu je implementuje. Chcąc jeszcze bardziej usprawnić i skrócić proces aktualizacji luk bezpieczeństwa, administratorzy często decydują się na oferowane przez wiarygodnych dostawców aktualizacje automatyczne.

Czy automatyczne aktualizacje od zaufanych dostawców zawsze zawierają wyłącznie poprawki bezpieczeństwa lub kompatybilności?

W niektórych przypadkach mogą zachodzić obawy, że poza pożądanymi aktualizacjami, w automatycznych updatach znajduje się coś jeszcze.

American Civil Liberties Union (ACLU) – amerykańska organizacja non-profit, której celem jest ochrona praw obywatelskich gwarantowanych przez konstytucję, ostrzega przed backdorami umieszczonymi w legalnym oprogramowaniu, które mogą narazić Twoją przedsiębiorstwo na wyciek danych.

W raporcie ACLU ostrzega twórców oprogramowania przed agencjami rządowymi, które stosują praktyki wymuszania na producentach, umieszczenia złośliwego oprogramowania typu backdoor w swoich produktach.

Automatyczne aktualizacje ułatwiają pracę agencjom wywiadowczym które chcą umieścić beckdoora w Twojej firmie. Instytucje te mogą zażądać umieszczenia złośliwego w aktualizacjach złośliwego kodu. Służby bezpieczeństwa posiadają niezbędne uprawnienia by zmusić producentów oprogramowania do umieszczenia złośliwego kodu na docelowym komputerze, nawet kiedy odmówi. Mogą wystąpić o nakaz sądowy oraz zmusić do zachowania tajemnicy.

Raport ACLU stwierdza, że takie żądania mogą się nasilić w wyniku coraz popularniejszego szyfrowania i wzrostu świadomości o lukach bezpieczeństwa wśród administratorów IT.

„Prawdopodobieństwo że rządowe służby bezpieczeństwa będą próbowały wymusić na producentach lub programistach umieszczanie beckdorów w aktualizacjach oprogramowania jest coraz większe. Problem wynika z coraz powszechniejszego stosowania szyfrowania danych”

„Wraz z uszczelnianiem luk bezpieczeństwa w systemach IT służby bezpieczeństwa poszukują alternatywnych rozwiązań dających możliwość inwigilacji”

Programiści powinni się zapoznać z raportem ACLU i zaleceniami jak postępować w przypadku pojawienia się służb bezpieczeństwa.

Należy sobie również zdawać sprawę, że zagrożeniem są nie tylko agencje rządowe, które mogą podejmować próby ingerencji w automatyczne aktualizacje celem umieszczenia złośliwego kodu. Przykładem jest rozprzestrzeniający się w niezwykle szybkim tempie atak ransomware z zeszłego roku, który wyrządził poważne szkody na Ukrainie.

W ataku wykorzystano szkodliwe oprogramowanie (znane pod nazwą Petya, NotPetya lub GoldenEye) które rozpowszechniano za pomocą automatycznego updatu popularnego programu księgowego MeDoc.

Wiele się spekuluje, kto stoi za atakiem, nie ma jednak żadnych podstaw by oskarżać o to producenta MeDoc. Wszystko wskazuje na fakt, że hakerzy włamali się na serwery producenta MeDoc i wykorzystali mechanizm automatycznych aktualizacji do rozpowszechnienia złośliwego kodu wśród klientów MeDoc.

„Przytoczone incydenty obniżają zaufanie do automatycznych aktualizacji oprogramowania i co za tym idzie, rezygnacja z nich w obawie przez wykorzystaniem ich do przemycenia złośliwego kodu” - komentuje Dariusz Woźniak, inżynier techniczny Bitdefender z firmy Marken - „może to prowadzić do obniżenia jakości zabezpieczeń, a co za tym idzie zwiększenia zagrożenia w cyberprzestrzeni.”