Съвместно предупреждение на CISA, ФБР, NSA и международни партньори разкрива как свързани с китайското правителство кибергрупи комбинират автоматизирани инструменти, компрометирана инфраструктура и ръчни техники за проникване в мрежи по света. В центъра на доклада е китайската компания Integrity Technology Group, за която американските служби твърдят, че подпомага операциите чрез разработване и осигуряване на киберинструменти и инфраструктура.

Американската агенция за киберсигурност и сигурност на инфраструктурата (CISA), Федералното бюро за разследване (ФБР), Агенцията за национална сигурност на САЩ (NSA) и международни партньори издадоха съвместно предупреждение за дейността на кибероператори, свързани с китайското правителство. Според публикувания 58-страничен документ те използват комбинация от автоматизирано разузнаване, мащабни ботнети, експлоатиране на уязвимости и целенасочени действия за получаване на неоторизиран достъп до мрежи и извличане на чувствителна информация.

В предупреждението се посочва Integrity Technology Group – базирана в Китай компания със стопанска дейност, която според американските власти има връзки с китайското правителство и подпомага злонамерени кибероперации. Разследващите свързват описаните техники с дейности, проследявани публично под имената Flax Typhoon, Ethereal Panda и Red Juliett.

Основният риск не се ограничава до първоначалното проникване. Операторите се стремят да запазят продължителен достъп до компрометираните системи, да заобикалят откриването и да извличат информация, включително електронна кореспонденция и идентификационни данни. Според американските служби подобни позиции в мрежите на критичната инфраструктура могат да бъдат използвани и за нарушаване на ключови функции в избран от нападателите момент.

Автоматизираното разузнаване улеснява откриването на уязвими цели

Описаните операции започват с широко сканиране на мрежи и уеб приложения чрез свободно достъпни инструменти. Целта е да бъдат открити системи с известни уязвимости, неправилни конфигурации и недостатъчно защитени услуги, изложени директно в интернет.

Според предупреждението от поне 2017 г. участниците използват и злонамерено уеб приложение, известно като MicroScan. То съдържа над 1300 скрипта за тестване на проникването, предназначени да проверяват сайтове и широко използвани услуги за конкретни уязвимости.

За първоначален достъп нападателите разчитат и на помощни програми от командния ред, базирани на експлойт код. Използват се също атаки с междусайтово изпълнение на скриптове (XSS), при които съдържанието на уеб страници се променя така, че посетителите да виждат фалшив прозорец за вход. Въведените потребителски имена и пароли могат да бъдат прихванати, след което жертвата получава предложение да изтегли файл, представен като легитимен софтуер за Windows, но съдържащ зловреден код.

ФБР свързва домейн, използван за комуникация на този зловреден софтуер, с инфраструктурата на Integrity Technology Group. Според оценката на американската служба една от вероятните цели е извличането на електронна кореспонденция от засегнатите потребители.

Атаките обхващат Microsoft 365 и Exchange

Операторите атакуват и облачни акаунти в Microsoft Office 365, както и имейл сървъри Microsoft Exchange. За получаване на достъп използват инструменти с отворен код за опити с пароли срещу множество акаунти и точки за достъп.

Сред описаните методи е т.нар. password spraying – проверяване на малък брой често използвани пароли срещу множество потребителски акаунти. Подходът позволява да се намали рискът от блокиране на отделни акаунти при прекомерен брой неуспешни опити, особено когато защитните механизми са недостатъчно строги.

Затова службите препоръчват защитниците да не ограничават наблюдението до един интерфейс за вход. Необходимо е да бъдат обхванати всички точки за достъп до пощенски услуги, облачни приложения и отдалечени системи, както и да се следи за необичайни модели на удостоверяване.

Легитимен VPN софтуер прикрива продължителния достъп

Една от по-съществените техники в доклада е използването на легитимен софтуер за виртуални частни мрежи (VPN) върху компрометирани устройства. Нападателите изтеглят програмите от контролирана от тях инфраструктура, конфигурират ги да се свързват автоматично при стартиране на системата и използват имена на инсталационни файлове, наподобяващи стандартни изпълними файлове на Windows.

Тъй като инструментите сами по себе си са легитимни, наличието им не е достатъчно основание за автоматично определяне на инфекция. Това може да затрудни откриването, особено когато организациите не разполагат с надежден контрол върху инсталирания софтуер и мрежовите връзки.

Според предупреждението тези VPN връзки осигуряват устойчив отдалечен достъп и могат да подпомагат извличането на данни. В някои случаи инфраструктурата се използва и за достигане до други цели, включително уебсайтове, свързани с киберсигурността.

ФБР е наблюдавало и изтегляне на бази данни, както и ръчно извличане на данни от електронни пощи. Откраднатата информация се подготвя за изнасяне с имена на файлове, избрани така, че да не привличат внимание.

Отделно службите описват скрипт за събиране на електронна кореспонденция чрез интерфейса Exchange Web Services (EWS), който предоставя достъп до имейли, календари и контакти. Инструментът изпраща съобщенията към отдалечен сървър, прикрива създадените файлове и директории и компресира данните преди извличането им. В определени случаи съобщенията са били и криптирани с парола.

Какво трябва да направят организациите при съмнение за компрометиране

CISA, ФБР и NSA препоръчват организациите да проверят индикаторите за компрометиране (IOC) и описаните тактики, техники и процедури (TTP), включени в предупреждението. Особено внимание трябва да се обърне на услугите, изложени в интернет, акаунтите с привилегирован достъп и механизмите за отдалечено управление.

При установено съмнение за проникване първата стъпка е да се определят засегнатите устройства и при необходимост те да бъдат изолирани от мрежата. След това трябва да започне целенасочено издирване на следи от нападателя чрез анализ на системни журнали, файлове, акаунти, мрежови връзки и други артефакти. Важно е да се изгради времева линия на действията, за да се установи как е получен достъпът, кои системи са засегнати и какви данни може да са били извлечени.

След събирането на достатъчно доказателства трябва да бъдат приложени подходящи мерки за отстраняване на нападателя и прекратяване на неоторизирания достъп. Американските служби насочват организациите към инструмента Eviction Strategies Tool на CISA, който подпомага изграждането на план за реакция чрез съпоставяне на наблюдаваните техники с конкретни действия за ограничаване и отстраняване на компрометирането.

MFA, сегментация и наблюдение на изходящия трафик

Препоръките включват изключване на неизползваните услуги и портове, ограничаване на информацията, разкривана от уеб приложенията, и редовна проверка на външно достъпните системи. Организациите трябва да валидират и филтрират входните данни в уеб приложенията, за да предотвратяват XSS атаки.

Особено важни са многофакторната автентикация (MFA) за електронна поща, VPN и акаунти с достъп до критични системи, както и строгото управление на идентичностите, привилегиите и служебните акаунти.

Службите препоръчват също наблюдение за злоупотреба с легитимни системни инструменти, необичайна репликация на Active Directory, неоторизирани промени в защитните стени и подозрителна активност в облачни акаунти. Трябва да се следи за необичайно големи обеми изходящи данни, непознати IP адреси и портове, подозрителни командни редове и влизания извън обичайното работно време. Особено внимание заслужават случаи, при които един акаунт се използва почти едновременно от географски отдалечени места.

Мрежовата сегментация трябва да ограничава възможността компрометирано устройство да достигне до чувствителни ресурси в други организационни сегменти. Това е особено важно за организации, в които корпоративната ИТ среда е свързана с оперативни технологии (OT).

Пачове, резервни копия и подмяна на остарелите системи

В дългосрочен план предупреждението препоръчва редовно актуализиране на софтуера и фърмуера, използване на надеждни канали за автоматични обновявания и подмяна на продуктите, за които производителите вече не предоставят поддръжка. Служителите трябва да бъдат обучавани да разпознават фалшиви съобщения за актуализации, които насочват към злонамерени прикачени файлове или ненадеждни сайтове.

Необходими са защитен софтуер с активна проверка в реално време, контрол на достъпа според ролите, редовна ротация на ключовете за служебните акаунти и надеждни механизми за удостоверяване. Препоръчва се и съхраняване на множество резервни копия на чувствителните данни и сървъри във физически отделено и защитено местоположение. Офлайн копията трябва да бъдат защитени така, че да не могат да бъдат променени или изтрити от компрометирана система.

Редовните тестове за проникване и проверките на външната повърхност за атаки могат да помогнат за откриването на слабости, преди те да бъдат използвани от нападатели.

Компаниите, които подпомагат операциите, също са във фокуса

Предупреждението поставя акцент не само върху отделните кибероператори, но и върху инфраструктурата и организациите, които могат да улесняват действията им. Според ФБР Integrity Technology Group е сред компаниите, които осигуряват или разработват инструменти и инфраструктура, използвани за атаки срещу мрежи по света.

Този подход показва защо защитата не може да се ограничава до блокиране на известни злонамерени файлове или IP адреси. Нападателите могат да сменят инфраструктурата си, да използват легитимни инструменти и да комбинират автоматизация с ръчни действия, за да останат незабелязани.

За организациите, включително операторите на критична инфраструктура, основният извод е необходимостта от постоянна видимост върху активите, контрол на отдалечения достъп, наблюдение на поведението и предварително подготвени процедури за реакция. Съвместните предупреждения на международните служби предоставят конкретни индикатори и защитни мерки, но ефектът им зависи от това дали организациите ще ги превърнат в реални промени в ежедневните си практики.