Bug del 2014 aprono ancora porte a un'azienda cinese

Sette domini sequestrati, sette governi firmano

L'8 ottobre l'FBI ha annunciato il sequestro di sette domini web legati a strumenti di hacking che, secondo gli atti giudiziari statunitensi, erano gestiti da Integrity Technology Group, un'azienda con sede in Cina che per le agenzie ha legami con il governo cinese. Insieme, agenzie di sette paesi hanno pubblicato un unico avviso, numerato AA26-281A.

Gli autori sono l'FBI, la CISA e la NSA negli Stati Uniti, l'NCSC britannico, l'ACSC australiano, il Cyber Centre canadese, la Polizia nazionale e l'Ufficio nazionale per la cybersicurezza del Giappone, l'NCSC neozelandese e il CNI spagnolo. Dicono che gli attori sostenuti da Integrity Tech combinano scansione automatizzata, grandi botnet e sfruttamento manuale per rubare dati, e che l'attività corrisponde a ciò che è tracciato pubblicamente come Flax Typhoon, Ethereal Panda e Red Juliett. L'NCSC aggiunge che il governo britannico ha sanzionato Integrity Tech l'anno scorso.

Gli atti giudiziari sostengono che Integrity Tech ha costruito una botnet basata su una variante di Mirai e lo scanner di vulnerabilità Microscan, ha gestito uno strumento chiamato FishHub e ha contratti con il governo cinese. Aggiungono che un server di database conteneva record di oltre 1,2 milioni di dispositivi infetti al 5 giugno 2024, più di 385.000 dei quali negli Stati Uniti.

La falla più vecchia dell'elenco è del 2014

Otto CVE compaiono nell'avviso come sfruttate con successo, e quattro portano un numero del 2014, 2015 o 2016.

L'avviso dice che queste CVE sono state recuperate dagli script di penetration test dello scanner e sono state sfruttate con successo. Nulla nell'elenco richiede un nuovo exploit. Serve software che nessuno ha aggiornato, raggiungibile da internet, e Microscan, in uso almeno dal 2017, contiene più di 1.300 script di questo tipo.

Come gli attori entrano e restano

L'avviso descrive una catena breve che parte da una scansione. Strumenti come nmap e masscan controllano le porte 21, 22, 53, 80, 443 e 1080, e gli attori sfruttano poi ciò che trovano o raccolgono password con payload di cross-site scripting che mostrano una finta finestra di accesso.

Per la posta usano uno strumento open source chiamato EBurst per tentare e indovinare password sulle interfacce di accesso di Microsoft Exchange, tra cui Outlook Web Access, Exchange Web Services e Autodiscover. Per restare dentro installano client VPN SoftEther, spesso chiamati conhost.exe o dllhost.exe, che la sicurezza degli endpoint segnala meno perché il programma è legittimo. Script estraggono poi e-mail e credenziali.

Cosa controllare questa settimana

Partite dall'esposizione, perché ogni passaggio precedente comincia da qualcosa raggiungibile da internet. Elencate ciò che risponde sulle porte 21, 22, 53, 80, 443 e 1080 e chiudete ciò che nessuno usa, che è la prima azione raccomandata dall'avviso.

Poi confrontate il vostro software con la tabella. Se usate ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi o un Bash non aggiornato, verificate la versione e aggiornatelo o ritiratelo. L'avviso consiglia anche di sostituire i prodotti a fine vita.

Infine, richiedete l'autenticazione a più fattori per gli accessi a webmail e VPN, che l'avviso mette in evidenza, e controllate i log delle applicazioni web per tentativi di path traversal, command injection ed enumerazione. Per le organizzazioni del Regno Unito e dell'UE il segnale è che l'NCSC e il CNI spagnolo hanno cofirmato l'avviso e che gli atti giudiziari citano un aeroporto polacco tra le reti scansionate, quindi non è solo una storia americana.

Da leggere ora: Germania: scadenze quantistiche al 2030 e al 2035  |  Il terzo zero-day di NetScaler in 90 giorni