eksfiltracja danych

Eksfiltracja danych to wyprowadzenie wykradzionych informacji z zaatakowanego systemu do atakującego. NIST definiuje ją krótko jako nieuprawniony transfer informacji z systemu ^[1]. W modelu MITRE ATT&CK eksfiltracja jest osobną taktyką (TA0010), obejmującą techniki kradzieży danych z sieci ofiary ^[2]. To zwykle ostatni etap włamania: dopiero wyprowadzenie danych zamienia dostęp do systemu w wyciek danych.

Jak działa

MITRE opisuje typowy przebieg: po zebraniu danych atakujący często je pakuje, na przykład kompresuje i szyfruje, aby uniknąć wykrycia podczas wysyłki ^[2]. Dane wychodzą kanałem dowodzenia i kontroli (C2) albo kanałem alternatywnym; atakujący może też ograniczać rozmiar pojedynczych transmisji ^[2]. Etapy pokazuje schemat poniżej.

RYS. 1Przebieg eksfiltracji

Przy wysyłce kanałem C2 dane są kodowane w zwykłej komunikacji tym samym protokołem, którym złośliwe oprogramowanie odbiera polecenia ^[3]. Ruch wygląda wtedy jak zwykła praca programu, a nie jak przesyłanie dużego pliku.

Odmiany

ATT&CK dzieli eksfiltrację na kilka technik według kanału ^[2]. Najważniejsze zestawia tabela.

Szczególnie trudna do wykrycia jest wysyłka do legalnej usługi. MITRE zaznacza, że atakujący może użyć istniejącej, legalnej usługi internetowej zamiast własnego kanału C2 ^[4]. CERT Polska opisuje infostealery, które kradną zapisane w przeglądarce hasła i ciasteczka, a potem wysyłają je pocztą SMTP, na serwer FTP albo przez API platform takich jak Telegram czy Discord ^[5].

Istnieją też kanały nietypowe. Sekurak opisał atak PIXHELL badaczy z Uniwersytetu Ben Guriona, w którym dane z odizolowanego komputera (air gap) wydostają się dźwiękiem cewek monitora LCD, rejestrowanym przez pobliski mikrofon ^[8]. To atak bocznym kanałem: wymaga wcześniejszego zainfekowania komputera i przesyła dane powoli ^[8].

W WordPressie

Na stronie WordPress eksfiltracja zachodzi w jednym z dwóch miejsc. Po stronie serwera kod PHP podrzucony przez atakującego, na przykład webshell albo fałszywa wtyczka, odczytuje bazę danych lub pliki i wysyła je na zewnątrz. W przeglądarce skrypt wstrzyknięty na stronę zamówienia zbiera dane wpisywane do formularza; tak działa web skimming w sklepach WooCommerce.

Każdy z tych przypadków ma własną blokadę. Po stronie serwera WordPress pozwala zablokować zewnętrzne żądania HTTP stałą WP_HTTP_BLOCK_EXTERNAL: żądania może wysyłać tylko localhost i sama witryna, a wyjątki wpisuje się w WP_ACCESSIBLE_HOSTS ^[6].

define( 'WP_HTTP_BLOCK_EXTERNAL', true );
define( 'WP_ACCESSIBLE_HOSTS', 'api.wordpress.org,*.github.com' );

W przeglądarce odpowiednikiem jest dyrektywa connect-src nagłówka CSP (Content Security Policy). Ogranicza ona adresy, z którymi skrypty strony mogą się łączyć przez fetch(), XMLHttpRequest, WebSocket, EventSource i Navigator.sendBeacon() ^[7]. Skimmer, który próbuje wysłać numer karty na obcą domenę, zostanie wtedy zatrzymany przez przeglądarkę, o ile domena nie jest na liście dozwolonych.

Zagrożenia i skutki

Eksfiltracja przesądza o skali szkody. Zaszyfrowanie serwera przez ransomware można odwrócić z kopii zapasowej, ale wyprowadzonych danych nie da się odzyskać. Na tym opiera się podwójne wymuszenie: przestępcy grożą publikacją skradzionych danych niezależnie od odszyfrowania.

Jeśli wśród danych są dane osobowe klientów, wyprowadzenie ich jest naruszeniem ochrony danych osobowych w rozumieniu RODO i może wymagać zgłoszenia, opisanego w haśle zgłoszenie naruszenia ochrony danych. Skradzione hasła i ciasteczka z przeglądarek są dalej wykorzystywane do przejęcia kont ^[5].

Jak się bronić

MITRE wskazuje dla wysyłki kanałem C2 dwa środki: systemy DLP, które wykrywają i blokują wysyłanie danych wrażliwych, oraz sieciowe systemy zapobiegania włamaniom oparte na sygnaturach ^[3]. Zaznacza jednak, że atakujący często zmieniają sygnatury i protokoły, aby je ominąć ^[3]. Dla wysyłki do usług internetowych MITRE zaleca DLP oraz serwery pośredniczące wymuszające politykę komunikacji z siecią zewnętrzną ^[4].

Wśród sposobów wykrywania MITRE wymienia procesy z nietypowymi połączeniami HTTPS i dużą ilością wysyłanych danych oraz archiwizację plików, po której następuje zaszyfrowana wysyłka do zewnętrznej usługi ^[4]. Dla strony WordPress oznacza to w praktyce:

• ograniczenie połączeń wychodzących serwera do znanych hostów ^[6];
• politykę CSP z connect-src na stronach z formularzami ^[7];
• monitorowanie integralności plików, które pokazuje nowy lub zmieniony kod przed pierwszą wysyłką danych;
• przegląd logów pod kątem nietypowych połączeń wychodzących.