Kineski hakeri bliski državi napadaju infrastrukturu SAD i Guama

U protekle dve godine, kineski hakeri uspeli su da naprave infrastrukturno uporište koje navodno koriste za špijunažu širom SAD i ostrva Guam koje je neinkorporirana spoljna teritorija SAD, piše Microsoft u svom blogu o bezbednosti.

Hakerska grupa sa imenom Volt Typhoon fokusira se na prikupljanje informacija za vlasti Kine, piše u saopštenju. Da bi prikrili svoj trag, oni koriste neautomatizovane alate već instalirane ili ugrađene u zaražene uređaje koje oni ručno kontrolišu, što je tehnika poznata kao „život van zemlje“ (living off the land). Osim objavljenih informacija od strane kompanije Microsoft, ova kampanja je dokumentovana u zajedničkom saopštenju pet agencija: CISA i FBI iz SAD, ACSC iz Australije, CCCS iz Kanade, NCSC-NZ sa Novog Zelanda i NCSC-UK iz UK.

Da bi hakeri dodatno prikrili svoje tragove, oni uz pomenutu tehniku koriste i male kućne i kancelarijske rutere kao posrednu infrastrukturu koja im omogućava komunikaciju sa zaraženim kompjuterima, a potiče od lokalnih internet provajdera.

Kako kineski hakeri napadaju?

Kako piše u saopštenju, grupa izdaje aktivnosti preko komandne linije da bi prikupila podatke iz lokalnih mrežnih sistema, zatim stavila podatke u arhivu koja je spremna za izvlačenje i potom prikupljene podatke koristi da bi održala svoju prisutnost. Na taj način hakeri pokušavaju da se uklope u normalnu mrežnu aktivnost usmeravanjem internet saobraćaja kroz zaražen opremu u koju spadaju SOHO ruteri, VPN hardveri i zaštitni firewall.

Akcija je verovatno osmišljena kako bi ometala „kritičnu komunikacionu infrastrukturu“ između SAD i regiona Azije tokom budućih svetskih kriza. Ostrvo Guam je pod kontrolom SAD i pruža strateški značaj zbog svojih okeanskih luka i vazdušne baze, posebno uzimajući u obzir tenzije koje rastu oko Tajvana, što Guam čini žarištem.

Incijalni upad za kinesku hakersku grupu je bio preko tehnologija loT i OT kompanije za sajber bezbednost Fortinet FortiGuard koja bi trebalo da prati i kontroliše fizičke uređaje i procese. Fortinet uređaji su se poslednjih godina pokazali kao glavna platforma upravo za inficiranje mreža. Hakeri su iskoristili ranjivosti koje su Fortinet administratori ignorisali.

Shutterstock

Microsoft takođe kaže da su mnogi uređaji, uključujući one koje prave Asus, Cisco, D-Link, Netgear i Zyxel dozvoljavali vlasniku da HTTP i SSH interfejsi budu javno dostupni preko interneta.

U saopštenju piše da će kompanija nastaviti da prati aktivnosti ove grupe, uz savete kako da se „očiste“ sve zaražene mreže, a među pogođenim industrijama našle su se komunikacije, proizvodnja, komunalne usluge, transport, građevinarstvo, informacione tehnologije i prosveta.