Digital Security продемонстрировала целевые атаки на приложения SAP

Digital Security продемонстрировала целевые атаки на приложения SAP

Digital Security выбрали конференцию BlackHat, чтобы рассказать миру о новом примере целевой атаки на системы SAP. В своем выступлении эксперты исследовательской лаборатории Digital Security рассказали о сложной многоуровневой атаке на SAP-систему, где используются многочисленные эксплойты, включая уязвимость нулевого дня под названием XML Tunneling – один из подвидов атаки класса SSRF (Server Side Request Forgery, подделка ответа сервера).

«Сейчас очень много говорят о критической инфраструктуре и о вирусах для кибершпионажа. При этом слишком мало информации о бизнес-системах и в частности о возможностях для корпоративного шпионажа и мошенничества, которые открываются при атаке на ERP-системы, такие как SAP. Поскольку в ERP-системе обыкновенно хранится вся критичная для бизнеса информация, конкурент может прибегнуть к промышленному шпионажу и, например, взломать финансовый модуль, где можно найти финансовые отчеты до публикации на бирже. Корпоративные войны более чем вероятны, и некоторые крупные компании могут стать жертвами подобного вредоносного ПО. Не менее вероятны и атаки, нарушающие доступность критичной информации, такие как DoS-атаки», – заявил Александр Поляков, технический директор Digital Security.

Атака, продемонстрированная на BlackHat, представляет собой последовательную эксплуатацию уязвимостей:

Неавторизованный доступ к веб-сервису модуля SAP PI, позволяющему отправлять XML-пакеты. Сам SAP PI, как правило, доступен через Интернет;XML Tunneling – новая техника, позволяющая отправлять любые TCP-пакеты во внутреннюю системы из сети Интернет, пряча их внутри XML-пакетов;Переполнение буфера в SAP Kernel.

Таким образом, вся атака поместилась в один XML-пакет, который практически ни одна IDS-система не определила бы как вредоносное ПО. Александр Поляков поделился подробностями данного сценария атаки в интервью для InfosecIsland (видео на английском языке).

«SAP долгое время тесно сотрудничала с компанией-докладчиком, чтобы обеспечить своим клиентам безопасность, и благодаря этому заранее выяснила технические подробности продемонстрированной атаки. Данная презентация посвящена возможному сценарию атаки, эксплуатирующему уязвимости в обработке XML. Такие уязвимости характерны для многих разработчиков ПО, не только для SAP. В результате совместной работы с исследователями нам удалось исправить проблему намного раньше, чем она была обнародована, и еще в июне выпустить обновления безопасности для нее (SAP Security Note 1707494). К июльскому обновлению безопасности мы разработали дополнительные механизмы защиты (SAP Security Note 1723641 и 1721309). Если вы еще не установили эти патчи, SAP настоятельно рекомендует сделать это сейчас», – такое предупреждение SAP AG разместила на своем веб-портале. Корпорация также выпустила эксклюзивное обновление безопасности, посвященное исключительно выступлению Digital Security на BlackHat USA.

«Тем не менее, пользователи SAP не привыкли вовремя устанавливать патчи. Поэтому мы обращаем особое внимание на превентивные меры против атак на SAP-системы. В ERPScan, разработанной нами системе мониторинга безопасности SAP, постоянно добавляются новые проверки для уязвимостей нулевого дня и советы по их исправлению. Наша система также обнаруживает проблемы в ABAP-коде собственной разработки пользователей SAP, где могут быть не только уязвимости, но и программные закладки (бэкдоры). В ходе аудитов безопасности SAP нам приходилось видеть такие бэкдоры, которые, например, воровали деньги из некоторых платежей в пользу разработчиков», – рассказал Александр Поляков.

В то время как SAP оперативно закрыла обнаруженную уязвимость, две недели назад была обнаружена похожая проблема в Oracle JVM. Это означает, что любая бизнес-система, например Peoplesoft или Oracle EBS, которая работает на движке J2EE и использует XML для передачи данных, может быть уязвима к атакам типа SSRF.

Операторы большой четвёрки договорились с МАКС о доставке кодов входа

Билайн, МТС, Мегафон и Т2 подписали стратегические соглашения с национальным мессенджером МАКС. Партнёрство позволит использовать платформу для отправки пользователям авторизационных, сервисных и транзакционных сообщений.

Проще говоря, в МАКС можно будет получать коды подтверждения для входа в разные сервисы, а также уведомления от компаний и организаций. При этом интеграция с платформой будет доступна не только операторам «большой четвёрки», но и всем российским операторам связи.

Для удобства сообщения в МАКС будут автоматически распределяться по двум защищённым папкам: «Коды подтверждения» и «Полезные уведомления». Обе папки получат специальный знак верификации.

Отдельное внимание уделят важным уведомлениям. Они будут приходить только на доверенное устройство, которое пользователь укажет сам. Эту технологию уже протестировали совместно с Минцифры, и она используется как основная для входа в приложение Госуслуг.

Новый канал доставки будет работать в рамках действующих соглашений операторов с бизнес-клиентами. С технической точки зрения компаниям не придётся перестраивать рассылки: всё должно работать на прежних настройках.

В дальнейшем через МАКС бизнес сможет отправлять не только обычные текстовые уведомления, но и более насыщенные сообщения в формате Rich Media. В них можно будет добавлять изображения, GIF, видео, аудио и кнопки для быстрых действий.

В Билайне отметили, что новый канал доставки сообщений станет дополнением к СМС и не потребует дополнительных действий со стороны пользователей и бизнес-клиентов. В Т2 подчеркнули, что компании-партнёры уже интересуются запуском уведомлений в МАКС на фоне роста роли национального мессенджера.

В Мегафоне добавили, что если доставить сообщение в МАКС не получится, его продублируют по СМС без дополнительной платы. В МТС заявили, что операторы будут управлять маршрутизацией сообщений в рамках утверждённых сценариев и обеспечивать их своевременную доставку.

В VK, развивающей МАКС, назвали партнёрство началом формирования нового стандарта коммуникаций компаний с клиентами: пользователи должны получить больше удобства и безопасности, а бизнес — новые мультимедийные возможности для общения с аудиторией.

RSS: Новости на портале Anti-Malware.ru