Китайские хакеры атакуют тайваньский хостинг
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Группы китайских хакеров начали активно атаковать компании, оказывающие услуги веб-хостинга на Тайване. Об этом заявили специалисты по информационной безопасности из компании Cisco Talos.
Эксперты зафиксировали деятельность новой, ранее неизвестной группировки, получившей временное название UAT-7237. Ее основной интерес — закрепиться в инфраструктуре веб-компаний Тайваня надолго и максимально незаметно. По мнению исследователей, UAT-7237 — это разновидность (или подгруппа) другой известной хакерской сети UAT-5918, но действует она достаточно автономно и, очевидно, не без участия государства.
Хотя прямых обвинений в адрес китайских властей не прозвучало, исследователи отмечают очевидное сходство используемых UAT-7237 инструментов с арсеналом прочих так называемых «тайфунных» хакеров — известных киберпреступных группировок из Китая, которые работают под госзаказ.
Хакеры не изобретают велосипед: большинство их утилит представляет собой доработанные программы с открытым исходным кодом. Особо экспертов заинтересовала уникальная вредоносная программа SoundBill — загрузчик вредоносных кодов. Помимо этого, злоумышленники активно пользуются средствами Cobalt Strike (популярная у хакеров платформа для тестирования и атак), избирательно внедряют веб-оболочки, а для доступа к системам предпочитают протокол RDP и VPN-клиенты SoftEther.
Недавно специалисты Cisco Talos обнаружили, что группа взломала одну из тайваньских фирм, предоставляющих хостинг, проявляя особый интерес к доступу во внутренние системы компании через VPN и облачные сервисы.
В своем исследовании Talos описывает технические методы, используемые UAT-7237: изъятие учетных данных, распространение вредоносных программ, создание «черных ходов» через легальные VPN-клиенты, сканирование сетей и освоение инфраструктуры жертвы. Для проникновения в сети группа использует известные уязвимости в не обновлявшихся серверах, открытых для доступа через интернет — это весьма типичная тактика для других «госгрупп», таких как Volt Typhoon или Flax Typhoon из Китая. Иногда жертвы сами открывают двери, пользуясь старыми паролями для VPN, RDP или облачных сервисов.
Главная хитрость UAT-7237 — желание раствориться в легальном сетевом трафике: минимальное использование громоздких вирусов, акцент на захват и удержание контроля над инфраструктурой. В отличие от массового фишинга здесь ставка делается на незаметность и долгосрочное проникновение. Исследование опубликовал Infosecurity Magazine.
PEREC.RU
Интернет-поле боя теперь пролегает через скучные серверные Тайваня. Китайские хакеры — точнее, предположительно госслужащие с айтишной грустью — взялись за рутину, которая давно стала для них новым кофе-брейком. Никого не удивляет, что цель атаки — хостинг-компании, где живут чужие сайты, личные переписки, а кое-где наверняка и пароль от вашей личной фотосессии.
Группа с бюрократически-стерильным именем UAT-7237 бодро взламывает сервера, не сопротивляющиеся обновлениям, и вроде как не оставляет следов — всё по нотам: получи доступ через дыру, подними свой собственный вредонос (теперь это «SoundBill» — очередное графоманское имя в киберпанке), забудь про тяжеловесные трояны и рыбалку. Ведь можно же спрятаться в легальном трафике VPN.
Прелесть техники — в повторяемости: открытый софт, немного кастомизации, чуточка любимого китайцами Cobalt Strike и пара халтурных веб-оболочек. Работаешь — как госслужащий: сканировать, пароли утягивать, тихо поселиться в корпоративном облаке, чтобы айтишник, чай пьющий в соседней комнате, даже не заметил.
Эта хореография скуки в стиле цифровой тотальной слежки — лишь очередная смена декораций. Кому-то из топ-менеджеров на Тайване пора учиться жить в «гостевом режиме»: серверы уже не ваши — просто сделайте себе чай и ждите апдейта. Кибер-Хунвейбины уже внутри.
