1 November 2024

Раскрыта глобальная сеть китайских хакеров по влиянию на критическую инфраструктуру

НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН, РАСПРОСТРАНЕН И (ИЛИ) НАПРАВЛЕН ИНОСТРАННЫМ АГЕНТОМ «РОСКОМСВОБОДА» ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА «РОСКОМСВОБОДА». 18+
Отчёт компании Sophos освещает многоуровневую киберугрозу от китайских группировок, нацеленных на уязвимые устройства критической инфраструктуры, и демонстрирует методы противодействия этим атакам.
Фото: Bill Hinton Photography/Getty Images

Компания Sophos X-Ops завершила масштабное расследование атак китайских кибергрупп, которые на протяжении 5 лет целенаправленно атаковали сетевые устройства по всему миру. Основные цели злоумышленников — брандмауэры и системы удаленного доступа. Sophos проанализировала методы, используемые для взломов, и выпустила рекомендации и обновления безопасности. На основе своих исследований компания выложила отчёт под названием Pacific Rim.

 

 

Хакеры применяли серию кампаний с использованием новых эксплойтов и индивидуально разработанного вредоносного ПО, стремясь внедрить инструменты для слежки, саботажа и кибершпионажа.

Sophos выявила широкий экосистемный подход к атакам. Атакующие нацеливались как на малые, так и на крупные объекты критической инфраструктуры в Южной и Юго-Восточной Азии, включая ядерные поставщики энергии, аэропорты, военные больницы и государственные министерства. После успешного ответа на первоначальные атаки, противники увеличили свои усилия, привлекая более опытных операторов, что стало причиной расширенного анализа экосистемы киберугроз.

Серия атак началась еще в декабре 2018 года, когда злоумышленники получили доступ к устройству в офисе индийского подразделения Cyberoam. Используя слабые настройки безопасности, хакеры запустили сетевое сканирование и обнаружили способ проникновения. Впоследствии, в 2020 году, была выявлена уязвимость Asnarök (CVE-2020-12271 с оценкой CVSS: 10.0), с помощью которой злоумышленники смогли получить root-доступ к устройствам и установить троян. Вредонос мог скрытно управлять системой, обходя стандартные средства защиты.

Чтобы бороться с угрозой, Sophos выпустила обновления и добавила в устройства датчики телеметрии, которые позволили лучше отслеживать действия хакеров. В апреле 2020 года Sophos также зафиксировала новую волну атак через другую уязвимость — CVE-2020-15069 (оценка CVSS: 9.8) в Sophos XG Firewall. Злоумышленники использовали данную брешь, чтобы установить вредоносные программы на устройства с WAN-интерфейсом, что открыло доступ к устройству без обнаружения.

С 2021 года китайские хакеры стали выбирать конкретные цели, направляя атаки на госучреждения и объекты критической инфраструктуры в Азиатско-Тихоокеанском регионе. В марте 2022 года Sophos обнаружила новую уязвимость в Sophos Firewall — CVE-2022-1040 (оценка CVSS: 9.8), позволявшую обойти защиту и получить полный доступ к устройствам. Ошибка была использована для установки специального руткита, который мог скрытно перехватывать команды и обеспечивать удаленное управление.

В 2022 году Sophos столкнулась с новым подходом — атаки стали скрытными, и для маскировки источников использовались цепочки прокси-серверов. Последние атаки, получившие название Covert Channels, позволяли хакерам похищать учетные данные, а также запускать скрипты, нарушающие работу сети.

Компания Sophos сотрудничала с международными организациями и национальными центрами кибербезопасности, чтобы противостоять угрозам. Sophos выпустила обновления для защиты устройств и поделилась индикаторами компрометации (IoC), чтобы компании могли своевременно обезопасить свои сети от атак.

Contacts

For general questions

[email protected]

For legal questions

[email protected]

Contacts for media:

Telegram: moi_fee
Signal: moi_fee.13

18+

On December 23, 2022, the Ministry of Justice included Roskomsvoboda in the register of unregistered public associations performing the functions of a foreign agent. We disagree with this decision and are appealing it in court.