Пет години в сянка: разкрита е глобална шпионска кампания на Китай

Защо групи от Китай атакуват критичната инфраструктура по целия свят?

Sophos X-Ops завърши мащабно разследване на атаки от страна на китайски кибергрупи, които от 5 години атакуват мрежовите устройства по целия свят. Основните цели на нападателите са защитните стени и системите за отдалечен достъп. Sophos е анализирала методите, използвани за хакерските атаки, и публикува съвети и актуализации по сигурността.

Поредицата от атаки започва още през декември 2018 г., когато нападателите получават достъп до устройство в офиса на индийското подразделение на Cyberoam. Използвайки незадоволителните настройки за защита, хакерите са извършили сканиране на мрежата и са открили начин за проникване. Впоследствие през 2020 г. е идентифицирана уязвимостта Asnarök (CVE-2020-12271 с оценка CVSS: 10.0), чрез която нападателите са успели да получат руут достъп до устройствата и да инсталират троянски кон. Зловредният софтуер е успявал незабелязано да контролира системата, заобикаляйки стандартните защити.

За да се пребори със заплахата, Sophos пусна актуализации и добави телеметрични сензори към устройствата, за да проследи по-добре действията на хакерите. През април 2020 г. Sophos регистрира и нова вълна от атаки чрез друга уязвимост – CVE-2020-15069 (CVSS оценка: 9,8) в Sophos XG Firewall. Нападателите се възползваха от тази пролука, за да инсталират зловреден софтуер на устройствата, свързани с WAN, което позволява достъп до устройството без разкриване.

От 2021 г. китайските хакери започват да избират конкретни цели, насочвайки атаките си към правителствени агенции и критична инфраструктура в Азиатско-тихоокеанския регион. През март 2022 г. Sophos откри нова уязвимост в Sophos Firewall – CVE-2022-1040 (CVSS score: 9.8) – която им позволи да заобиколят защитите и да получат пълен достъп до устройствата. Бъгът бе използван за инсталиране на специализиран руткит, който може тайно да прихваща командите и да осигурява дистанционен контрол.

През 2022 г. Sophos се сблъска с нов подход – атаките станаха скрити, а за прикриване на произхода им се използваха прокси вериги. Най-новите атаки, наречени Covert Channels (скрити канали), даваха възможност на хакерите да крадат идентификационни данни, както и да изпълняват скриптове, които нарушават работата на мрежата.

Sophos работи с международни организации и национални центрове за киберсигурност, за да противодейства на заплахите. Sophos пусна актуализации за защита на устройствата, така че компаниите да могат своевременно да защитят мрежите си от атаки.