Rekomendacje dot. unikania kampanii szpiegowskich
SKW oraz CERT.PL mocno rekomendują wszystkim podmiotom mogącym znajdować się w obszarze zainteresowania aktora wdrożenie zmian konfiguracyjnych mających na celu przerwanie mechanizmu dostarczenia, który był używany w opisywanej kampanii. Sektory, które szczególnie powinny rozważyć wdrożenie zaleceń to:
- Podmioty rządowe;
- Podmioty dyplomatyczne, ministerstwa spraw zagranicznych, ambasady, personel dyplomatyczny i pracujący w podmiotach międzynarodowych;
- Organizacje międzynarodowe;
- Organizacje pozarządowe.
Poniższe zmiany konfiguracyjne mogą posłużyć do przerwania mechanizmu dostarczenia złośliwego oprogramowania użytego w opisywanej kampanii:
- Zablokowanie możliwości montowanie w systemie plików obrazów dysków. Większość użytkowników wykonujących prace biurowe nie posiada potrzeby pobierania i używania plików ISO lub IMG.
- Monitorowanie montowania plików obrazów dysków przez użytkowników pełniących role administratorów.
- Włączenie i konfiguracja reguł Attack Surface Reduction Rules10.
- Konfiguracja reguł Software Restrition Policy i zablokowanie możliwości uruchamiania plików wykonywalnych z nietypowych lokalizacji (w szczególności: katalogi tymczasowe, %localappdata% i katalogi podrzędne, nośniki zewnętrzne11).
Załączamy również zbiór wszystkich wskaźników (IoC) powiązanych z opisywaną kampanią, zalecamy weryfikację zbieranych logów systemowych i sieciowych pod kątem ich wystąpienia.
Zapraszamy do pełnego artykułu:
https://www.gov.pl/web/baza-wiedzy/kampania-szpiegowska-wiazana-z-rosyjskimi-sluzbami
