Бэкдоры (backdoors): для чего они используются и как от них защититься
Когда злоумышленники планируют кибератаку на корпоративную сеть или сайт, у них уже может быть готовая лазейка. Такое возможно благодаря бэкдору, который часто сравнивают с незапертым черным ходом. Проблема в том, что об этом ходе знают только атакующие и они могут пользоваться им регулярно. В результате конфиденциальность и безопасность информации длительное время находятся под угрозой.
Бэкдоры стали одной из распространенных угроз для безопасности компаний и людей. Злоумышленники похищают личные данные (имя, фамилия, адрес, контакты), информацию о банковских картах, данные для аутентификации в системе (логины и пароли).
Красноречивая статистика: согласно исследованию за 2022 год
Специалисты по кибербезопасности определяют бэкдор (англ. backdoor, буквально — «черный ход») как программу или код, намеренно встроенные в другое ПО, чтобы незаметно получать быстрый доступ к серверу, базе данных, приложению, веб‑ресурсу или устройству. Таким образом, бэкдоры позволяют получить несанкционированный доступ к данным, и такие лазейки создаются намеренно.
После открытия доступа злоумышленник может делать все то же самое, что и владелец сервера или устройства, только удаленно и незаметно: копировать и удалять файлы, модифицировать реестр, изменять настройки операционной системы или отдельных приложений. В результате оказываются скомпрометированными все данные, а преступники могут использовать зараженные компьютеры для атак на новые устройства и внедрять любое вредоносное ПО (ВПО), например шифровальщики.
Есть два вида бэкдоров: аппаратные и программные. Первые работают на уровне «железа», вторые — на уровне приложений, программ, в операционной системе.
Аппаратные бэкдоры
Аппаратные бэкдоры внедряются производителями оборудования прямо в прошивку. Такие бэкдоры не выявят антивирус и проверка кода, а избавиться от них не помогают ни замена, ни обновление ПО. Простых и надежных методов обнаружения этих уязвимостей не существует.
Конечно, сами производители обычно не используют намеренно созданные аппаратные закладки в неблаговидных целях: аппаратные бэкдоры нужны, чтобы облегчить обслуживание оборудования. Тем не менее нет гарантий, что они будут применяться исключительно в законных целях, поэтому риски для пользователей все равно есть.
Кейсы эксплуатации аппаратных бэкдоров встречаются крайне редко, но среди специалистов по кибербезопасности хорошо известен случай с китайским производителем устройств ZTE
Программные бэкдоры
Программный бэкдор — код или программа, которые внедряются непосредственно в программное обеспечение, причем это могут делать как разработчики, так и злоумышленники. В первом случае назначение программных бэкдоров такое же, как и аппаратных — облегчить доступ к своему продукту для обслуживания. Тем не менее это все равно является потенциальной уязвимостью, которой могут воспользоваться киберпреступники.
Злоумышленники создают программные бэкдоры, используя уязвимости (намеренно внедренные или не учтенные разработчиками) в программном обеспечении под популярные ОС, такие как Windows, Linux, Android. Встроенный код позволяет злоумышленнику удаленно подключаться к системе, получать доступ ко всем данным или их части, устанавливать новые вредоносные программы. Программные бэкдоры активно используются киберпреступниками для внедрения троянов, руткитов
Бэкдоры используют множество разных типов подключения. Например, TCP‑протокол — для последующей прямой передачи данных от вредоносной программы до панели управления. Здесь есть 2 типа соединения:
- Bind. ВПО занимает определенный сетевой порт и следит за входящими подключениями. Зная IP‑адрес инфицированного устройства и номер сетевого порта, на котором базируется слушатель listen
, злоумышленник может подключаться к системе и управлять вредоносом. Зачастую используется RCE . У bind‑подключения есть недостаток: если на уровне межсетевого экрана или маршрутизатора сетевой порт, а также его перенаправление будут закрыты, проникновение в сеть осуществить не выйдет. - Back‑connect. ВПО подключается к серверу управления злоумышленника самостоятельно. В момент сборки агента преступник указывает IP‑адрес и сетевой порт своего сервера управления, где находится слушатель входящих подключений. После успешной интеграции в систему ВПО обратится по определенному протоколу на указанный IP‑адрес и сетевой порт. Так соединение будет успешно установлено и злоумышленник сможет обмениваться командами с вредоносом.
Сегодня бэкдор‑техники используются в разных классах ВПО. Современные вредоносные программы содержат не только RAT‑модули
Бэкдоры применяются при построении ботнетов (сетей ботов). Создавая сеть из зараженных устройств, злоумышленнику необходимо контролировать их для синхронизации и передачи данных. Это достигается за счет внедрения вредоносного кода в легитимное программное обеспечение. Делается это через специализированные утилиты (например, Shellter). Нелегитимный код исполняется параллельно с легитимным программным кодом, устанавливая скрытое обратное соединение, back connect, с сервером злоумышленника.
Яркий пример атаки с помощью бэкдора — кейс с атакой на SolarWinds
Когда компании получали последнее обновление SolarWinds Orion Platform, они автоматически становились уязвимы к атаке, так как в прошивке новой версии был бэкдор. В итоге из‑за атаки на цепочку поставок вендора решений кибербезопасности под угрозой оказалось множество организаций.
Обнаружение бэкдоров — непростая задача для служб защиты от киберугроз. Вот основные средства программной защиты и правила кибербезопасности, которые позволяют находить уже существующие бэкдоры и затруднять внедрение новых:
- EDR
. Данный класс решений позволяет обнаружить наличие вредоносной и подозрительной активности в защищаемой системе, в том числе инциденты с эксплуатацией программных бэкдоров. Благодаря функциональности реагирования оператор EDR может оперативно изолировать зараженную систему или программный компонент для дальнейшей нейтрализации угрозы. - Антивирусные и антишпионские решения. Это простое, но эффективное средство, которое помогает в обнаружении вредоносного кода. Такие программы находят известное шпионское ПО, определяя его при помощи сигнатурного и эвристического анализа, и предотвращают внедрение на устройство жертвы.
- Внедрение процесса безопасной разработки. Внедрение мер безопасности на каждом этапе разработки ПО (SSDLC
) позволит своевременно выявлять уязвимости, через которые злоумышленники могли бы доставить вредоносный код. - Приобретение лицензионных продуктов. Никто не контролирует, что внедряют в код взломанных приложений нарушители авторских прав. Лицензионные продукты более надежны, так как на них распространяется гарантия производителя оборудования или разработчика ПО. Это еще одна реальная причина (главная, безусловно, — нарушение закона), почему организациям важно перейти на политику использования только лицензионного софта с официальной поддержкой.
- Обновление ПО до последней версии. В свежих версиях разработчики исправляют все обнаруженные ранее уязвимости — злоумышленники не смогут ими воспользоваться. Преступникам потребуется гораздо больше усилий, чтобы внедрить вредоносный код.
- Обучение сотрудников кибергигиене. Навыки информационной безопасности и соблюдение правил конфиденциальности в рабочих процессах очень помогают повысить защищенность компании от многих киберугроз, в том числе бэкдоров.
Хотя приведенные выше методы защиты снижают риски атак с помощью бэкдоров, защититься полностью от них невозможно. Бизнесу стоит заботиться о компьютерной безопасности в целом, не пренебрегать грамотным администрированием процессов и помнить, что работы по киберзащите — это постоянный непрерывный процесс.