Rekomendacje dot. unikania kampanii szpiegowskich

14 kwietnia, 2023 Michał Pabich

Udostępnij

SKW oraz CERT.PL mocno rekomendują wszystkim podmiotom mogącym znajdować się w obszarze zainteresowania aktora wdrożenie zmian konfiguracyjnych mających na celu przerwanie mechanizmu dostarczenia, który był używany w opisywanej kampanii. Sektory, które szczególnie powinny rozważyć wdrożenie zaleceń to:

Podmioty rządowe;
Podmioty dyplomatyczne, ministerstwa spraw zagranicznych, ambasady, personel dyplomatyczny i pracujący w podmiotach międzynarodowych;
Organizacje międzynarodowe;
Organizacje pozarządowe.

Poniższe zmiany konfiguracyjne mogą posłużyć do przerwania mechanizmu dostarczenia złośliwego oprogramowania użytego w opisywanej kampanii:

Zablokowanie możliwości montowanie w systemie plików obrazów dysków. Większość użytkowników wykonujących prace biurowe nie posiada potrzeby pobierania i używania plików ISO lub IMG.
Monitorowanie montowania plików obrazów dysków przez użytkowników pełniących role administratorów.
Włączenie i konfiguracja reguł Attack Surface Reduction Rules¹⁰.
Konfiguracja reguł Software Restrition Policy i zablokowanie możliwości uruchamiania plików wykonywalnych z nietypowych lokalizacji (w szczególności: katalogi tymczasowe, %localappdata% i katalogi podrzędne, nośniki zewnętrzne¹¹).

Załączamy również zbiór wszystkich wskaźników (IoC) powiązanych z opisywaną kampanią, zalecamy weryfikację zbieranych logów systemowych i sieciowych pod kątem ich wystąpienia.

Zapraszamy do pełnego artykułu:

https://www.gov.pl/web/baza-wiedzy/kampania-szpiegowska-wiazana-z-rosyjskimi-sluzbami