Uwaga! Aktualizacje legalnego oprogramowania mogą zawierać złośliwe pliki

Najczęstszą przyczyną skutecznych ataków jest brak najnowszych aktualizacji oprogramowania. Przykładów nie trzeba szukać daleko. Wystarczy przypomnieć ostatni incydent z wyciekiem wrażliwych danych osobowych (w tym nazwiska, daty urodzenia czy numery ubezpieczenia społecznego) niemal połowy amerykanów z baz danych Equifax, jednej z trzech największych firm na świecie zajmującej się analizą kredytową i doradztwem. W przytoczonym przypadku przestępcy złamali zabezpieczenia strony internetowej Equifax wykorzystując znana już od kilku miesięcy lukę w zabezpieczeniach w Apache Struts. Można przytoczyć setki podobnych przykładów łamania zabezpieczeń z wykorzystaniem luk bezpieczeństwa, do których od miesięcy istnieją aktualizacje bezpieczeństwa.

Większość administratorów odpowiedzialnych za bezpieczeństwo IT doskonale sobie zdaje sprawę z problemu i gdy tylko pojawiają się stosowne aktualizacje bezpieczeństwa, od razu je implementują. Chcąc jeszcze bardziej usprawnić i skrócić proces aktualizacji luk bezpieczeństwa, administratorzy często decydują się na oferowane przez wiarygodnych dostawców aktualizacje automatyczne. W niektórych przypadkach mogą zachodzić obawy, że poza pożądanymi aktualizacjami, w automatycznych updatach znajduje się coś jeszcze.

American Civil Liberties Union – amerykańska organizacja non-profit, której celem jest ochrona praw obywatelskich, ostrzega przed backdorami umieszczonymi w legalnym oprogramowaniu, które mogą narazić przedsiębiorstwo na wyciek danych. W raporcie ACLU ostrzega twórców oprogramowania przed agencjami rządowymi które stosują praktyki wymuszania na producentach, umieszczenie złośliwego oprogramowania typu backdoor swoich produktach.

Automatyczne aktualizacje ułatwiają pracę agencjom wywiadowczym które chcą umieścić beckdoora w danej firmie. Instytucje te mogą żądać umieszczenia złośliwego kodu w aktualizacjach. Służby bezpieczeństwa posiadają niezbędne uprawnienia by zmusić producentów oprogramowania do umieszczenia złośliwego kodu na docelowym komputerze, nawet kiedy odmówi. Mogą wystąpić o nakaz sądowy oraz zmusić do zachowania tajemnicy. W raporcie ACLU stwierdza się, że takie żądania mogą się nasilić w wyniku coraz popularniejszego szyfrowania i wzrostu świadomości o lukach bezpieczeństwa wśród administratorów IT.

Należy sobie zdawać sprawę, że zagrożeniem są nie tylko agencje rządowe, które mogą podejmować próby ingerencji w automatyczne aktualizacje celem umieszczenia złośliwego kodu. Przykładem jest rozprzestrzeniający się w szybkim tempie atak ransomware z zeszłego roku, który wyrządził poważne szkody na Ukrainie. W ataku wykorzystano szkodliwe oprogramowanie (znane pod nazwą Petya, NotPetya lub GoldenEye) które rozpowszechniano za pomocą automatycznego updatu popularnego programu księgowego MeDoc. Wiele się spekuluje, kto stoi za atakiem, nie ma jednak żadnych podstaw by oskarżać o to producenta MeDoc. Wszystko wskazuje na fakt, że przestępcy włamali się na serwery producenta i wykorzystali mechanizm automatycznych aktualizacji do rozpowszechnienia złośliwego kodu wśród jego klientów.