Análise de domínios mal-intencionados da CrowdStrike: quem é afetado e o que pode vir em seguida

Comentários editoriais e adicionais por Tricia Howard
Cópia editada por Maria Vlasak

Na sexta-feira, dia 19 de julho de 2024, o mundo reagiu ao surgimento de telas azuis na maioria dos dispositivos após uma recente atualização de conteúdo do CrowdStrike Falcon. A atualização acionou verificações de bugs em hosts do Windows que induziram a um oceano global de telas azuis da morte, causando bilhões de apagões de sistema em vários locais.

Com 8,5 milhões de dispositivos afetados globalmente, praticamente todos os setores foram atingidos por esse apagão, incluindo serviços essenciais, como aviação, governoe saúde, o que causou impactos reais, e alguns continuam mesmo dias após o incidente.

Como acontece com frequência com eventos notáveis, os agentes de ameaça tentaram imediatamente explorar a situação se aproveitando da confusão e da interrupção generalizada causadas pela atualização. A extensão do apagão, vinculada à extensão da cobertura de notícias sobre ela, levou a uma série de usuários desconcertados que procuravam respostas onde pudessem encontrá-las.

Cada um desses domínios tinha uma participação de mercado aproximadamente igual. A maioria desses domínios tem o domínio de nível superior [.]com, que mantém um ar sutil de legitimidade por causa de sua onipresença. Palavras-chave comuns, como “tela azul da morte” e “microsoft”, estão presentes em vários domínios. Essas palavras-chave são termos de pesquisa secundários comuns que uma vítima com fome de conhecimento teria procurado para coleta de informações.

Embora tenhamos o costume de ver a alta tecnologia e os serviços financeiros  sofrerem as consequências dos ataques de dia zero, os setores sem fins lucrativos e educacional, bem como o setor público, que representam mais de 29%, destacam-se aqui. Esse setor também é muito afetado em termos de remediação: o número de dispositivos gerenciados para alunos de um único campus pode chegar a milhares, dependendo do tamanho da instituição.

O setor de educação também conta com pessoas com uma ampla variedade de níveis de habilidade técnica, incluindo as que não têm nenhum conhecimento tecnológico. Apesar do aumento dos orçamentos de TI, a equipe de segurança, geralmente pequena, de uma instituição de ensino tem a tarefa aparentemente interminável de tentar proteger esses ambientes. Um invasor com experiência em engenharia social poderia estar ciente dessa deficiência e tirar vantagem, o que também poderia contribuir para a alta quantidade de tráfego.

É comum que essas campanhas de phishing façam parte de uma infraestrutura resiliente se forem orquestradas por agentes de ameaça profissionais com as habilidades para rivalizar com um ambiente empresarial. Essas campanhas mais sofisticadas podem ter mecanismos de failover e ofuscação e mudar rapidamente a aparência: um dos domínios observados nessa campanha está vinculado a uma fonte mal-intencionada conhecida que se aproveitou das dificuldades da pandemia.

Além disso, muitos desses sites têm atividades de construção de confiança integradas que os usuários estão acostumados a associar a segurança, como validação de SSL ou suporte de TI. Até a data de publicação deste artigo no blog, foram identificados mais de 180 domínios diferentes, todos registrados entre 19 e 21 de julho. Esse número provavelmente aumentará à medida que o processo de remediação continuar.

O impacto desses sites é notável, o que é evidenciado pela quantidade de tráfego apontado para eles. Esses sites têm milhões de visualizações, alguns estão até classificados nos 200.000 principais domínios para palavras-chave associadas globalmente para o período, de acordo com a AkaRank.

Analisamos alguns dos domínios com mais tráfego para identificar seu modus operandi e agrupamos alguns dos sites com base nas formas como eles fingem legitimidade: serviços de TI falsos, soluções falsas e assistência jurídica falsa. Observação: Alguns exemplos mais avançados desses sites mal-intencionados também incluem outros golpes, como “suporte telefônico” ou redirecionamento para o site real da CrowdStrike, gerando mais credibilidade para o usuário desavisado.

Esse tipo de site falso finge ter profissionais de TI humanos disponíveis para ajudar em uma rápida recuperação, e eles têm um tom de urgência no mesmo nível. O senso de emergência pode induzir os visitantes a fornecer informações pessoais, que é uma característica comum de uma configuração de phishing. O objetivo é roubar informações confidenciais diretamente do usuário.

Uma leitura rápida das instruções faz com que pareça ser uma correção legítima. Os arquivos são denominados “CrowdStrike”, mencionam o problema atual e disponibilizam um número razoável de etapas. Uma vítima desavisada que está querendo voltar ao trabalho pode introduzir ela mesma malware em seu ambiente.

Esse IOC (crowdstrikeclaim[.]com) em particular se destacou porque provavelmente faz parte de uma infraestrutura de phishing difundida. A equipe de resposta de inteligência de segurança da Akamai fez parte dessa análise e identificou esse domínio por ele ter um ID incorporado do Facebook conhecido por ser mal-intencionado, que costumava ser vinculado a covid19-business-help.qualified-case[.]com. Esse site, por sua vez, tem outro ID incorporado do Facebook vinculado a aproximadamente 40 outros websites.

Se você foi afetado pelo apagão e está procurando informações, recomendamos que você consulte fontes confiáveis, como a CrowdStrike ou a Microsoft. Embora outros locais possam parecer ter informações mais atualizadas, eles podem não ser corretos ou, pior ainda, podem ter um propósito maligno.

Se você estiver em uma página que alega oferecer assistência para o apagão da CrowdStrike, há algumas maneiras de verificar a legitimidade.

• Verifique o certificado e o emissor do domínio ao acessar por HTTPS

• Saiba que o domínio provavelmente é ilegítimo se solicitar informações confidenciais, como números de cartão de crédito, números de previdência social ou informações bancárias 

• Siga apenas informações de recuperação diretamente da CrowdStrike

• Não abra anexos de e-mail que alegam ser capazes de corrigir o problema, mesmo se chegarem de domínios que pareçam ser da CrowdStrike

Os profissionais de segurança que estão lidando com os efeitos desse incidente também têm algumas maneiras de ajudar a corrigir e limitar uma maior exposição.

• Realize uma análise de lacuna de movimento lateral ou emulação de adversário. Os agentes de ameaça com aspirações financeiras encontrarão mais oportunidades de inserir ransomware em um ambiente. Embora esta não seja uma CVE a ser explorada, há possíveis impactos técnicos de um agente de ameaças que conhece uma parte essencial da sua pilha de segurança. Recomendamos uma análise de lacuna ou até mesmo uma emulação de adversário para que você tenha uma visão atual do seu cenário de ameaças.

• Bloqueie IOCs conhecidos e relacionados. Existem várias fontes confiáveis de informações de IOCs conhecidos associados a essa campanha, inclusive esta lista que criamos. Se essa lista for consistente com sua própria análise de gerenciamento de riscos, bloqueie os domínios imediatamente ou até mesmo use sumidouros DNS para interromper as comunicações com domínios mal-intencionados. 

É provável que veremos mais tentativas de phishing associadas a esse problema após a correção de cada dispositivo. Uma simples rolagem pelas redes sociais pode dar a  um invasor uma noção de quais marcas geram as emoções mais intensas e que são perfeitas para serem personificadas em favor de ganhos malévolos.

Esse é o trabalho de um invasor. É importante lembrar-se disso. As operações de campanha mal-intencionadas funcionam da mesma forma que em empresas legítimas: as vítimas são seus “clientes”, e as táticas variadas apresentadas neste post mostram como eles estão “conectados” a seus clientes. Eles sabem como diversificar o portfólio de forma eficaz para garantir que acabem com o dinheiro de um banco.

Também é notável que, devido à natureza pública desse incidente, os invasores agora entendem melhor as pilhas de tecnologia de determinados alvos. Isso pode se tornar relevante caso uma CVE futura seja descoberta no produto Falcon. Os invasores estão ficando cada vez mais sofisticados, e cada peça adicional do quebra-cabeça da pilha de tecnologia que eles têm torna esse quebra-cabeça mais fácil de resolver.