Хакеры взломали федеральное агентство США через уязвимость в GeoServer
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
В середине июля 2024 года одно из гражданских исполнительных агентств США подверглось атаке хакеров. Злоумышленники использовали опасную уязвимость с удалённым выполнением кода (RCE) в серверной платформе GeoServer, которую правительство признало критической. Об инциденте подробно рассказало Агентство кибербезопасности и инфраструктурной безопасности США (CISA).
Нападение произошло через дыру в безопасности с идентификатором CVE-2024-36401. Эта уязвимость получила оценку 9,8 баллов из 10 по шкале серьёзности: она позволяла атакующим запускать свой код на сервере просто путём отправки специально подготовленных данных на стандартную установку GeoServer. GeoServer — это бесплатное программное обеспечение с открытым исходным кодом, которое позволяет публиковать и редактировать геопространственные данные. Обычно его используют для работы с картами и географической информацией.
Открытость платформы сыграла злую шутку: информация об уязвимости появилась 30 июня, а в реестр используемых хакерами дыр KEV от CISA её включили только к 15 июля. К этому времени серверы уже были взломаны, а неприятели укоренились в системе. Хуже того, в тот же месяц был взломан ещё один сервер, владельцы которого тоже не поспешили установить обновления безопасности.
Как только злоумышленники проникли в систему, они провели детальную разведку с помощью профессиональных инструментов Burp Suite, fscan и linux-exploit-suggester2.pl. Затем преступники начали перемещаться по внутренней сети, взломали веб-сервер и сервер баз данных, а также установили веб-шеллы — специальные скрипты для дистанционного управления поражёнными машинами. Среди них был "China Chopper" — лёгкий инструмент, который часто использует хакерские группы, связанные с государственными структурами Китая, например организация APT41. С помощью China Chopper хакеры получили удалённый доступ и возможность перемещаться внутри сети, запускать команды и загружать файлы.
CISA не назвала конкретную групу, стоящую за атакой, но ранее известно, что China Chopper — излюбленное средство для сложных длительных атак, популярных среди киберпреступников, связанных с Китаем. Американское агентство поделилось этим отчётом с одной целью: напомнить всем — своевременно обновляйте ПО и регулярно тестируйте план реагирования на инциденты. В противном случае тайны вашей инфраструктуры могут однажды оказаться чужими.
PEREC.RU
Успех хакеров — зеркало всего современного IT-менеджмента: система по-прежнему строится на принципе 'главное — не растрясти начальство'.
Всё уже написано: публичная дыра в ПО выходит за неделю до массовой атаки, ведомства лениво обновляются, отчёт CISA готовится как учебник для малышей. Но и это не помогает. Причина проста: бюрократия быстрее меняет проверки, чем ПО. Пока одни программисты скачивают журналы об уязвимостях, другие ещё согласуют заявку на обновление. Результат? Хакеры с минимальным бюджетом — максимум успеха.
Особенно восхищает постоянная скромность США, которая никогда не прямо не указывает пальцем, но всеми силами намекает: вокруг сплошные китайские тени. То China Chopper, то инструменты APT — отчёты сами себя пишут. Бюджеты на кибербезопасность растут, но реального иммунитета не становится. Первая заплатка — всегда после беды. Возможно, таких кейсов надо не бояться, а выставлять напоказ как пример: не работаешь с патчами — приёмы из школьного курса взлома доведут тебя до заголовков новостей.
