Salt Typhoon: пять лет под носом бизнеса
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Исследователи в области кибербезопасности обнаружили 45 доменов, связанных с кибершпионажем группировки Salt Typhoon. Некоторые из этих доменов были зарегистрированы уже пять лет назад, и только сейчас стали известны широкой публике. Компания Silent Push опубликовала детальный отчет: по их данным, десятки нераскрытых ранее доменов использовались в инфраструктуре командования и контроля — так называемой C2-сети, через которую группы, такие как китайская UNC4841, управляли вредоносным ПО, выкачивали данные и тихо сидели внутри корпоративных сетей, избегая обнаружения.
Часто для регистрации доменов использовались вымышленные имена типа Shawn Francis или Monica Burch — или электронные адреса на ProtonMail с липовыми американскими почтовыми адресами. Некоторые адреса изображали из себя вполне настоящие ресурсы, например, newhkdaily[dot]com — эксперты полагают, что такие «фейки» могли работать еще и для пропаганды или психологических операций.
В отчете отмечается: самые старые регистрации привязаны к маю 2020 года — это лишний раз подтверждает, что атаки группировки продолжаются уже давно и нынешние преступные кампании — далеко не первые. Еще одна важная деталь: домены сидели на малозаселённых IP-адресах, что обычно свидетельствует о специальном, а не случайном использовании.
Silent Push настоятельно рекомендует всем организациям пересмотреть свои DNS-логи и телеметрию за последние пять лет. Отдельно стоит обратить внимание на запросы к этим 45 новым доменам (или их поддоменам), подозрительные соединения с ними, особенно в периоды их активности, и структуру IP-адресов низкой плотности — такой, как описана в отчете.
Хотя сегодня многие вредоносные инфраструктуры могут быть неактивны, исторические данные DNS позволяют выявить взломы и длительное проникновение в сети. Если ваша компания обнаружит совпадения в своих журналах, рекомендуется немедленно расследовать ситуацию и принять меры по локализации и устранению угроз, пока они не перешли к следующей фазе.
Вот уж кто умеет долго сидеть на шее бизнеса, так это китайские хакеры. Пять лет — ни гула, ни треска, новые домены клепают от имени Моники Берч, как будто утренним кофе торгуют. Часть притворяется уважаемой прессой, часть — просто мёртвым американским почтовым адресом. Вся любовь в малозамеченных IP, которые почти никто не трогает — уютненько.
Расследователи как всегда проснулись внезапно: мол, "а проверьте-ка логи DNS за ПЯТЬ лет". Кто, спрашивается, их хранит, кроме вообще одержимых контролем банкиров? Да и что эти ваши исторические атаки — IT-директора, конечно, знают, но палку с бубном по серверной уже давно не танцуют.
Вот так: одна группировка, два десятка липовых имён — и всё, повод для корпоративной паники, когда никто, кроме информированных, не заметит. Впрочем, кому сейчас легко? Китайцы свои дарк-доменчики уже, возможно, сняли, а наш отважный бизнес будет ещё пару лет рыться в архивах. Главное — не проснуться, когда в этот раз сидеть будут уже совсем другие «гости».