На протяжении года китайские операции кибершпионажа опирались на единого поставщика сетевой инфраструктуры. Он не проводил атаки сам, а снабжал исполнителей маршрутами доступа, средствами разведки и инструментами сокрытия следов. При этом такой посредник работает как "квартирмейстер". Он выдаёт злоумышленникам всё нужное для скрытной работы и обслуживает сразу несколько групп.
Описание
Модель такого сервиса основана на четырёх связанных элементах. Первый отвечает за разведку: он выявляет перспективные цели и описывает их устройство. Второй превращает обычные коммерческие прокси-серверы в зашифрованную сеть ретрансляции. Она маскирует поток данных между исполнителем и жертвой. Третий элемент - это устройство физического доступа. Через него операторы подключаются к общей инфраструктуре. Четвёртый управляет узлами ретрансляции и позволяет задавать индивидуальные маршруты. Все четыре части образуют единый сервис, который можно сдавать в аренду. Для защитников такая схема создаёт важную точку воздействия. Закрытие одной сети сокрытия ослабляет сразу несколько активных кампаний. Поэтому выявление подобных посредников имеет особую ценность.
По данным Black Lotus Labs, ключевая особенность схемы - ставка на готовые коммерческие сервисы. Посредник не строит собственную сеть обхода блокировок с нуля. Вместо этого он покупает корпоративные подписки на китайские прокси-платформы. Изначально они помогали обходить государственную систему фильтрации трафика. В Китае такие сервисы называют "аэропортами". Они открывают доступ к высокоскоростным международным каналам связи. При этом посредник выбирает не всю сеть поставщика, а отдельные узлы выхода с лучшими характеристиками.
Выбранные узлы ретрансляции незаметно смешивают вредоносный трафик с потоком обычных пользователей. Тысячи людей в это же время смотрят видео и работают в интернете через те же каналы. Поэтому сторонний наблюдатель не видит ничего необычного. При этом список узлов регулярно обновляется. Значит, статические запреты по адресам больше не работают.
Такая модель отражает общий сдвиг в работе хакерских групп. Раньше они строили сети сокрытия самостоятельно и арендовали постоянные серверы. Теперь группы всё чаще создают распределённые сети ретрансляционных узлов. Их собирают из уже заражённых домашних маршрутизаторов, устройств интернета вещей и арендованных серверов. Трафик проходит через постоянно меняющиеся адреса. При этом он сливается с обычным интернет-шумом и обходит привычные средства защиты.
Операторы управляют сетью через закрытую панель. Изучение журналов подключений за несколько месяцев выявило устойчивую связь между разработчиками и их инфраструктурой. Часть служебных сессий приходила из сетей китайских операторов связи, закреплённых за городом Нанкин. По этим же каналам подключались узлы из состава арендованной прокси-сети. При этом наблюдение показывает, что владельцы сервиса активно настраивали и проверяли свою инфраструктуру. Только после этого они сдавали её в аренду.
Основной интерес посредника и его клиентов сосредоточен на науке и государственном секторе. Среди целей - крупные исследовательские университеты. Их работа связана с физикой, биоинформатикой, аэрокосмическими и спутниковыми системами. Отдельно выделяются государственные, оборонные и военные сети. Больше всего внимания привлекают объекты в США, Великобритании и Азиатско-Тихоокеанском регионе. Под наблюдением также находятся европейские инфраструктурные объекты и судебные учреждения по всему миру. Кроме того, злоумышленников интересуют открытые системы разработки, незащищённые облачные хранилища и данные для входа сотрудников.
Действия развиваются по двум направлениям. Против хорошо защищённых государственных и военных объектов посредник проводит широкие сканирующие обходы. Однако они редко дают отдачу сразу. Зато такие обходы позволяют годами отслеживать состояние обороны. Широкие обходы фиксируют активные точки входа и следят за их изменениями. Против отдельных компаний и научных центров работают точечные проверки. Они нацелены на поиск слабых мест и открытых интерфейсов удалённого управления. Точечные проверки затрагивают здравоохранение, критическую инфраструктуру, энергетику, финансовый сектор и хранилища корпоративного программного обеспечения.
У посредника есть отдельный инструмент для разведки. Он работает в три этапа. Так, центральный узел распределяет задания между сканерами. Сами сканеры разбросаны по миру. Они регулярно меняют диапазоны адресов, чтобы не попадать в поле зрения защитных систем. Через месяц работы сканеры переезжают на новые адреса. Третья часть собирает добытые сведения: открытые порты, версии программ и настройки. Все данные стекаются в единое хранилище для дальнейшего анализа.
Разведка и атака связаны напрямую. Сначала сканеры выявляют интересующие узлы. Затем те же сети получают входящие подключения через сеть ретрансляции. В результате совпадение целей говорит о едином замысле. Когда исполнитель подтверждает перспективный объект, он переходит от прощупывания к попыткам эксплуатации. Через скрытые каналы он закрепляется в системе. Затем он перемещается внутри сети и похищает ценные данные. Такие каналы остаются незамеченными долгое время. Они позволяют поддерживать постоянный доступ к сети жертвы.
Работа подобного посредника показывает, насколько индустриальным стал китайский кибершпионаж. Отдельные разрозненные схемы уступают место общим услугам. Такие услуги обслуживают сразу многих заказчиков. Заказчики оплачивают каналы как обычные подписки. Поэтому блокировка отдельных адресов больше не помогает. Организациям стоит опираться на рекомендации CISA и NCSC. Речь идёт об агентстве США по кибербезопасности и британском центре по кибербезопасности. Полезно сокращать внешнюю поверхность атаки с помощью комплексных решений класса SASE (защита доступа к сетевым сервисам на периметре). Также важно своевременно обновлять прошивки маршрутизаторов, межсетевых экранов и устройств интернета вещей.
Индикаторы компрометации
