Luki z 2014 nadal otwierają drzwi chińskiemu wykonawcy

Siedem domen zajętych, siedem rządów podpisało

8 października FBI ogłosiło zajęcie siedmiu domen internetowych powiązanych z narzędziami hakerskimi, które według amerykańskich dokumentów sądowych prowadziła Integrity Technology Group, firma z siedzibą w Chinach, która według agencji ma powiązania z rządem chińskim. Jednocześnie agencje z siedmiu krajów opublikowały jedno ostrzeżenie oznaczone numerem AA26-281A.

Autorami są FBI, CISA i NSA w USA, brytyjskie NCSC, australijskie ACSC, kanadyjskie Cyber Centre, japońska Narodowa Agencja Policji i Narodowe Biuro Cyberbezpieczeństwa, nowozelandzkie NCSC oraz hiszpańskie CNI. Mówią, że aktorzy wspierani przez Integrity Tech łączą zautomatyzowane skanowanie, duże botnety i ręczne wykorzystywanie luk, by kraść dane, a aktywność odpowiada temu, co publicznie śledzi się jako Flax Typhoon, Ethereal Panda i Red Juliett. NCSC dodaje, że rząd Wielkiej Brytanii nałożył na Integrity Tech sankcje w zeszłym roku.

Dokumenty sądowe twierdzą, że Integrity Tech zbudowała botnet oparty na wariancie Mirai oraz skaner podatności Microscan, obsługiwała narzędzie o nazwie FishHub i ma kontrakty z rządem chińskim. Dodają, że serwer bazy danych zawierał rekordy ponad 1,2 miliona zainfekowanych urządzeń na dzień 5 czerwca 2024, w tym ponad 385 000 w USA.

Najstarsza luka na liście pochodzi z 2014 roku

Osiem CVE pojawia się w ostrzeżeniu jako skutecznie wykorzystane, a cztery z nich mają numer z 2014, 2015 lub 2016 roku.

Ostrzeżenie mówi, że te CVE odzyskano ze skryptów testów penetracyjnych skanera i skutecznie je wykorzystano. Nic z tej listy nie wymaga nowego exploita. Potrzebne jest oprogramowanie, którego nikt nie załatał i które jest osiągalne z internetu, a Microscan, używany co najmniej od 2017 roku, zawiera ponad 1300 takich skryptów.

Jak aktorzy wchodzą i zostają

Ostrzeżenie opisuje krótki łańcuch zaczynający się od skanu. Narzędzia takie jak nmap i masscan sprawdzają porty 21, 22, 53, 80, 443 i 1080, a aktorzy wykorzystują potem to, co znajdą, lub zbierają hasła kodem cross-site scripting, który wyświetla fałszywe okno logowania.

Do poczty używają otwartoźródłowego narzędzia EBurst, by zasypywać hasłami i zgadywać hasła w interfejsach logowania Microsoft Exchange, między innymi Outlook Web Access, Exchange Web Services i Autodiscover. Aby zostać, instalują klientów VPN SoftEther, często nazywanych conhost.exe lub dllhost.exe, które ochrona stacji rzadziej zgłasza, bo program jest legalny. Skrypty wyciągają potem pocztę i dane logowania.

Co sprawdzić w tym tygodniu

Zacznij od ekspozycji, bo każdy krok wyżej zaczyna się od czegoś osiągalnego z internetu. Spisz, co odpowiada na portach 21, 22, 53, 80, 443 i 1080, i zamknij to, czego nikt nie używa, co jest pierwszym zalecanym działaniem ostrzeżenia.

Potem porównaj swoje oprogramowanie z tabelą. Jeśli używasz ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi lub niezałatanego Basha, sprawdź wersję i załataj go lub wycofaj. Ostrzeżenie zaleca też wymianę produktów po zakończeniu wsparcia.

Na koniec wymagaj uwierzytelniania wieloskładnikowego przy logowaniu do poczty webowej i VPN, co ostrzeżenie wyróżnia, i przejrzyj logi aplikacji webowych pod kątem prób przejścia po ścieżkach, wstrzyknięcia poleceń i rozpoznania. Dla organizacji w Wielkiej Brytanii i UE sygnałem jest to, że NCSC i hiszpańskie CNI współpodpisały dokument, a dokumenty sądowe wymieniają polskie lotnisko wśród skanowanych sieci, więc to nie jest wyłącznie amerykańska historia.

Czytaj dalej: Niemcy ustalają terminy kwantowe: 2030 i 2035  |  Trzecia luka zero-day NetScalera w 90 dni