Киберпреступники из Китая проводят масштабные атаки на критическую инфраструктуру по всему миру, включая телекоммуникационные компании, правительственные учреждения, транспортные системы и военные сети. Об этом совместно предупредили агентства кибербезопасности из более чем 20 стран, включая США, Великобританию, Канаду, Австралию и страны Евросоюза.
Описание
Согласно опубликованному консультативному отчету Cybersecurity and Infrastructure Security Agency (CISA), Advanced Persistent Threat (APT, продвинутая постоянная угроза) акторы, связанные с Китаем, нацеливаются на магистральные маршрутизаторы крупных телекоммуникационных провайдеров. Злоумышленники используют уязвимости в сетевом оборудовании для получения долгосрочного доступа к сетям и последующего перемещения между системами.
Действия этих акторов частично совпадают с активностью групп, известных в индустрии кибербезопасности как Salt Typhoon, OPERATOR PANDA, RedMike, UNC5807 и GhostEmperor. Аналитики отмечают, что атаки фиксируются с 2021 года и связаны с китайскими компаниями, включая Sichuan Juxinhe Network Technology Co. Ltd., которые предоставляют киберуслуги разведывательным службам Китая.
Технический анализ показывает, что злоумышленники активно используют известные уязвимости в сетевых устройствах, включая недавние критические уязвимости в продуктах Ivanti (CVE-2024-21887), Palo Alto Networks (CVE-2024-3400) и Cisco (CVE-2023-20273, CVE-2023-20198). В отличие от некоторых других государственных акторов, использование уязвимостей нулевого дня не наблюдалось.
Для сохранения доступа к скомпрометированным сетям злоумышленники применяют различные техники: изменяют списки контроля доступа (ACL), открывают нестандартные порты, настраивают туннели шифрования и используют встроенные возможности сетевых устройств для захвата трафика. Особую озабоченность вызывает перехват аутентификационного трафика TACACS+ и RADIUS, что позволяет акторам получать учетные данные администраторов сетей.
Эксперты отмечают, что собранные данные в конечном итоге предоставляют китайским спецслужбам возможность отслеживать коммуникации и перемещения целевых объектов по всему миру. Утечка конфигурационной информации сетевых устройств также позволяет злоумышленникам понимать архитектуру сетей и планировать последующие атаки.
Международные агентства кибербезопасности рекомендуют организациям, особенно телекоммуникационным компаниям, провести активный поиск угроз в своих сетях. Ключевые рекомендации включают мониторинг изменений конфигурации сетевых устройств, проверку виртуализированных контейнеров, аудит сетевых сервисов и туннелей, контроль целостности прошивок и тщательный анализ логов.
Специалисты подчеркивают важность координации защитных мер перед отключением компрометированных систем, чтобы избежать предупреждения злоумышленников о обнаружении их активности. Частичные ответные действия могут привести к тому, что акторы скроют свое присутствие и сохранят доступ к другим скомпрометированным сетям.
Организациям рекомендуется предоставлять информацию о компрометации соответствующим органам для улучшения понимания масштабов и методов атак. Совместные усилия международного сообщества позволяют более эффективно противостоять растущим киберугрозам со стороны государственных акторов.
Индикаторы компрометации
Yara
Snort rule
