Zeven domeinen in beslag genomen, zeven regeringen tekenden
Op 8 oktober maakte de FBI de inbeslagname bekend van zeven webdomeinen die samenhangen met hackertools die volgens Amerikaanse rechtbankstukken werden beheerd door Integrity Technology Group, een bedrijf in China dat volgens de diensten banden heeft met de Chinese overheid. Tegelijk publiceerden diensten uit zeven landen één advies, genummerd AA26-281A.
De auteurs zijn de FBI, CISA en de NSA in de VS, het Britse NCSC, het Australische ACSC, het Canadese Cyber Centre, de Japanse nationale politie en het Japanse nationale bureau voor cyberveiligheid, het Nieuw-Zeelandse NCSC en het Spaanse CNI. Ze zeggen dat actoren met hulp van Integrity Tech geautomatiseerd scannen, grote botnets en handmatig misbruik combineren om data te stelen, en dat de activiteit overeenkomt met wat publiekelijk wordt gevolgd als Flax Typhoon, Ethereal Panda en Red Juliett. Het NCSC voegt toe dat de Britse overheid Integrity Tech vorig jaar heeft gesanctioneerd.
Rechtbankstukken beweren dat Integrity Tech een botnet op basis van een Mirai-variant en de kwetsbaarheidsscanner Microscan bouwde, een tool genaamd FishHub bediende en contracten heeft met de Chinese overheid. Ze zeggen ook dat een databaseserver gegevens bevatte over meer dan 1,2 miljoen geïnfecteerde apparaten op 5 juni 2024, waaronder meer dan 385.000 in de VS.
Het oudste gat op de lijst stamt uit 2014
Acht CVE's staan in het advies als succesvol misbruikt, en vier ervan dragen een nummer uit 2014, 2015 of 2016.
| CVE | Product | Kwetsbaarheid | Nieuw in de CISA-catalogus |
|---|---|---|---|
| CVE-2014-6278 | GNU Bash | Code-uitvoering op afstand | Nee |
| CVE-2015-3306 | ProFTPD 1.3.5 | Ongeautoriseerd lezen | Ja |
| CVE-2015-5477 | ISC BIND 9.x | Denial of service | Ja |
| CVE-2016-3081 | Apache Struts, reeks 2.3 | Code-uitvoering op afstand | Ja |
| CVE-2019-11510 | Pulse Connect Secure | Ongeautoriseerd lezen | Nee |
| CVE-2021-22205 | GitLab | Code-uitvoering op afstand | Nee |
| CVE-2021-3199 | ONLYOFFICE DocumentServer | Ongeautoriseerd schrijven | Ja |
| CVE-2023-22894 | Strapi | Openbaring van informatie | Ja |
Het advies zegt dat deze CVE's zijn teruggevonden in de penetratietestscripts van de scanner en succesvol zijn misbruikt. Niets in de lijst vraagt om een nieuwe exploit. Er is software nodig die niemand heeft gepatcht en die vanaf het internet bereikbaar is, en Microscan, sinds minstens 2017 in gebruik, bevat meer dan 1.300 van zulke scripts.
Hoe de actoren binnenkomen en blijven
Het advies beschrijft een korte keten die met een scan begint. Tools als nmap en masscan bekijken de poorten 21, 22, 53, 80, 443 en 1080, en de actoren misbruiken daarna wat ze vinden of oogsten wachtwoorden met cross-site-scriptingcode die een nep-inlogvenster toont.
Voor e-mail gebruiken ze een open-sourcetool genaamd EBurst om wachtwoorden te bestoken en te raden bij inloginterfaces van Microsoft Exchange, waaronder Outlook Web Access, Exchange Web Services en Autodiscover. Om te blijven installeren ze SoftEther-VPN-clients, vaak genoemd naar conhost.exe of dllhost.exe, die endpointbeveiliging minder snel meldt omdat het programma legitiem is. Scripts halen vervolgens e-mails en inloggegevens weg.
Wat u deze week kunt nakijken
Begin bij de blootstelling, want elke stap hierboven start bij iets wat vanaf het internet bereikbaar is. Maak een lijst van wat antwoordt op de poorten 21, 22, 53, 80, 443 en 1080 en sluit wat niemand gebruikt, de eerste aanbevolen maatregel van het advies.
Vergelijk daarna uw software met de tabel. Draait u ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi of een niet-gepatchte Bash, controleer dan de versie en patch of verwijder het. Het advies raadt ook aan producten aan het einde van hun levensduur te vervangen.
Eis ten slotte meervoudige authenticatie bij webmail- en VPN-logins, wat het advies benadrukt, en bekijk de logs van webtoepassingen op pad-traversal, commando-injectie en verkenningspogingen. Voor organisaties in het VK en de EU is het signaal dat het NCSC en het Spaanse CNI het mede ondertekenden en dat rechtbankstukken een Pools vliegveld noemen onder de gescande netwerken, dus dit is niet alleen een Amerikaans verhaal.
Lees hierna: Duitsland stelt 2030 en 2035 als kwantumdeadlines | NetScalers derde zero-day in 90 dagen
