Группа вымогателей n0n опубликовала файлы конфигурации межсетевого экрана Finzly, а также связанные с ними пароли и ключи. Finzly подключает банки к платёжным сетям, в том числе к сервисам Федеральной резервной системы (ФРС). В компании заявили, что сменили системные ключи и учётные данные и не обнаружили признаков утечки данных клиентов или сведений для доступа к их системам. ФРС сообщила, что её платёжные сервисы не пострадали.
Инцидент касается инфраструктуры, через которую банки получают доступ к платёжным сетям. Пока неизвестно, можно ли было использовать опубликованные данные для входа в системы. Даже после смены паролей конфигурационные файлы могут раскрывать сетевые соединения, которые банкам и их подрядчикам следует проверить.
В файлах указаны подключения к сервисам ФРС
Платформа BankOS компании Finzly соединяет банки с платёжными сетями, включая ACH, Fedwire и FedNow. Клиенты используют эти сервисы через общее подключение. На прошлой неделе на сайте Finzly были указаны 11 банков и кредитных союзов.
Представитель Finzly сообщил, что компания «сменила системные ключи и учётные данные», подчеркнув, что одни только конфигурационные файлы не дают доступа к системам или данным Finzly. По итогам расследования компания не обнаружила признаков компрометации данных клиентов банков или информации для доступа к их системам и заявила, что работа клиентов не была нарушена. Finzly уведомила правоохранительные органы, привлекла внешних юридических и судебно-технических специалистов и начала связываться с клиентами. Компания также сообщила, что взаимодействует с регуляторами и клиентами.
Представитель ФРС заявил, что её платёжные сервисы не пострадали. В опубликованных файлах, по имеющимся данным, нет клиентских или банковских данных и записей о транзакциях. При этом не проверено, содержатся ли там пароли или ключи, которые всё ещё действуют. В комментарии к конфигурации она обозначена как «конфигурация 2023 года», что может указывать на дату её создания.
На прошлой неделе n0n пригрозила опубликовать сетевые конфигурации и ключи доступа к платёжной инфраструктуре. Группа перенесла срок публикации с пятницы на вечер вторника, а затем выложила файлы. Это может указывать на то, что Finzly не заплатила выкуп, хотя n0n не раскрыла сумму требования. Компания по киберразведке Cyfirma задокументировала требования n0n к южнокорейским компаниям на суммы от 600 тыс. до 14 млн долларов с оплатой в биткоинах.
Неизвестно, как злоумышленники получили доступ к устройству
Finzly заявила, что неавторизованное лицо получило доступ к устройству в резервном дата-центре компании, где хранились конфигурационные данные. Компания не уточнила, было ли это устройство тем самым межсетевым экраном, когда произошёл взлом и каким способом злоумышленник проник в систему.
Из шести файлов, опубликованных n0n, пять, по всей видимости, относятся к конфигурации межсетевого экрана Fortinet FortiGate. Шестой файл представляет собой сводку конфигурации и называет устройство «платёжным шлюзом». В файлах указано прямое подключение с названием «FED» и правила для трафика FedNow и FedACH. В сводке также отмечено, что пароли и ключи из конфигурации были расшифрованы 15 октября.
Межсетевые экраны обычно хранят пароли и ключи в зашифрованном виде. В 2019 году Fortinet признала, что в более ранних версиях её программного обеспечения для межсетевых экранов один и тот же встроенный ключ использовался на разных устройствах для шифрования паролей в конфигурационных файлах. Майкл Тиггес, ведущий аналитик группы тактического реагирования компании Huntress, отметил, что злоумышленники вполне могли получить ключи, расшифровав конфигурационный файл. Публичных данных, которые подтверждали бы, каким именно способом это сделала n0n, нет.
Смена паролей не устраняет все риски утечки
Смена паролей и ключей обновляет учётные данные, но сама по себе не меняет сетевые подключения, описанные в конфигурации. Рейф Пиллинг, старший директор по исследованию угроз в Sophos, пояснил, что старая конфигурация межсетевого экрана всё ещё может показывать, каким соединениям доверяет сеть. Опубликованные файлы описывают маршруты между облачными системами Finzly и ФРС и потенциально раскрывают, как эти системы взаимодействуют.
Васим Ахмед, руководитель инженерного направления компании Secure.com, также отметил, что схемы сетей, IP-адреса, конечные точки туннелей и отношения доверия обычно меняются реже, чем пароли. Даже если старые учётные данные уже недействительны, опубликованная карта сети может помочь злоумышленнику быстрее разобраться в инфраструктуре цели.
По словам Тиггеса, в худшем случае утекшая конфигурация межсетевого экрана может помочь получить дальнейший контроль над сетью или повысить риск кражи номеров счетов и финансовых транзакций, а также атаки с использованием программ-вымогателей. Доступная информация не позволяет установить, пыталась ли n0n использовать ключи для входа в системы, обнаружила ли Finzly необычную активность до попытки вымогательства или узнала о ней позднее. Компания также не сообщила, меняла ли ключи до или после того, как файлы были получены злоумышленниками либо опубликованы.
Банкам советуют проверить ключи и журналы доступа
Денис Кальдероне, технический директор компании по кибербезопасности Suzu Labs, рекомендовал банкам, которых может касаться утечка конфигурации подрядчика, запросить подтверждение, что все указанные в файлах пароли и ключи заменены. По его словам, банкам также стоит попросить документальное подтверждение и уточнить, уведомил ли подрядчик Федеральную резервную систему.
Ахмед посоветовал банкам составить перечень всех подключений к подрядчику, заменить подконтрольные им учётные данные и согласовать с ним новые ключи VPN, не дожидаясь, пока подрядчик сам поднимет каждый вопрос. Кальдероне также рекомендовал проверить журналы на предмет необычных подключений и охватить расследованием несколько месяцев до утечки, а не только период после публикации файлов.
По имеющимся данным, опубликованные файлы не содержали банковских клиентских данных или записей о транзакциях, а платёжные сервисы ФРС работали штатно. Однако время и способ доступа к устройству в резервном дата-центре, момент смены ключей и необходимость дополнительных изменений в соединениях между банками и Finzly пока не установлены.