Fejl fra 2014 giver stadig kinesisk leverandør adgang

Syv domæner beslaglagt, syv regeringer skrev under

Den 8. oktober meddelte FBI beslaglæggelsen af syv webdomæner knyttet til hackerværktøjer, som ifølge amerikanske retsdokumenter blev drevet af Integrity Technology Group, et kinesisk selskab, som myndighederne siger har forbindelser til den kinesiske regering. Samtidig udgav myndigheder fra syv lande én samlet advarsel med nummeret AA26-281A.

Forfatterne er FBI, CISA og NSA i USA, Storbritanniens NCSC, Australiens ACSC, Canadas Cyber Centre, Japans nationale politi og nationale cybersikkerhedskontor, New Zealands NCSC og Spaniens CNI. De siger, at aktører bakket op af Integrity Tech kombinerer automatiseret scanning, store botnet og manuel udnyttelse for at stjæle data, og at aktiviteten svarer til det, der offentligt følges som Flax Typhoon, Ethereal Panda og Red Juliett. NCSC tilføjer, at den britiske regering sanktionerede Integrity Tech sidste år.

Retsdokumenter påstår, at Integrity Tech byggede et botnet baseret på en Mirai-variant og sårbarhedsscanneren Microscan, drev et værktøj kaldet FishHub og har kontrakter med den kinesiske regering. De siger også, at en databaseserver rummede optegnelser om mere end 1,2 millioner inficerede enheder pr. 5. juni 2024, heraf over 385.000 i USA.

Den ældste fejl på listen er fra 2014

Otte CVE'er optræder i advarslen som udnyttet med succes, og fire af dem har et nummer fra 2014, 2015 eller 2016.

Advarslen siger, at disse CVE'er blev hentet fra scannerens penetrationstestscripts og blev udnyttet med succes. Intet på listen kræver en ny exploit. Det kræver software, ingen har patchet, og som kan nås fra internettet, og Microscan, i brug siden mindst 2017, rummer over 1.300 sådanne scripts.

Sådan kommer aktørerne ind og bliver

Advarslen beskriver en kort kæde, der starter med en scanning. Værktøjer som nmap og masscan ser på portene 21, 22, 53, 80, 443 og 1080, og aktørerne udnytter derefter det, de finder, eller høster adgangskoder med cross-site scripting-kode, der viser en falsk loginboks.

Til e-mail bruger de et open source-værktøj kaldet EBurst til at sprøjte og gætte adgangskoder mod loginflader i Microsoft Exchange, blandt andet Outlook Web Access, Exchange Web Services og Autodiscover. For at blive installerer de SoftEther VPN-klienter, ofte navngivet conhost.exe eller dllhost.exe, som endpointsikkerhed sjældnere flager, fordi programmet er legitimt. Scripts trækker derefter e-mails og legitimationsoplysninger ud.

Hvad I kan tjekke i denne uge

Begynd med eksponeringen, for hvert trin ovenfor starter med noget, der kan nås fra internettet. Lav en liste over, hvad der svarer på portene 21, 22, 53, 80, 443 og 1080, og luk det, ingen bruger, hvilket er advarslens første anbefalede handling.

Sammenhold derefter jeres software med tabellen. Kører I ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi eller en upatchet Bash, så tjek versionen og patch eller fjern den. Advarslen anbefaler også at udskifte produkter, der er udløbet.

Kræv til sidst multifaktorgodkendelse ved login til webmail og VPN, hvilket advarslen fremhæver, og gennemgå webapplikationernes logs for forsøg på stigennemløb, kommandoinjektion og kortlægning. For organisationer i Storbritannien og EU er signalet, at NCSC og Spaniens CNI var medunderskrivere, og at retsdokumenter nævner en polsk lufthavn blandt de scannede netværk, så dette er ikke kun en amerikansk historie.

Læs videre: Tyskland sætter 2030 og 2035 som kvantefrister  |  NetScalers tredje zero-day på 90 dage