Sju domäner beslagtagna, sju regeringar skrev under
Den 8 oktober meddelade FBI att sju webbdomäner beslagtagits som hör till hackarverktyg som enligt amerikanska domstolshandlingar drevs av Integrity Technology Group, ett kinesiskt bolag som enligt myndigheterna har kopplingar till den kinesiska regeringen. Samtidigt publicerade myndigheter från sju länder en gemensam varning med numret AA26-281A.
Författarna är FBI, CISA och NSA i USA, Storbritanniens NCSC, Australiens ACSC, Kanadas Cyber Centre, Japans nationella polisbyrå och nationella cybersäkerhetskontor, Nya Zeelands NCSC och Spaniens CNI. De säger att aktörer med stöd av Integrity Tech kombinerar automatiserad skanning, stora botnät och manuellt utnyttjande för att stjäla data, och att aktiviteten motsvarar det som offentligt spåras som Flax Typhoon, Ethereal Panda och Red Juliett. NCSC lägger till att den brittiska regeringen sanktionerade Integrity Tech förra året.
Domstolshandlingar hävdar att Integrity Tech byggde ett botnät baserat på en Mirai-variant och sårbarhetsskannern Microscan, drev ett verktyg kallat FishHub och har kontrakt med den kinesiska regeringen. De säger också att en databasserver innehöll poster om mer än 1,2 miljoner infekterade enheter den 5 juni 2024, varav över 385 000 i USA.
Det äldsta felet på listan är från 2014
Åtta CVE:er förekommer i varningen som framgångsrikt utnyttjade, och fyra av dem har ett nummer från 2014, 2015 eller 2016.
| CVE | Produkt | Fel | Ny i CISA:s katalog |
|---|---|---|---|
| CVE-2014-6278 | GNU Bash | Fjärrkörning av kod | Nej |
| CVE-2015-3306 | ProFTPD 1.3.5 | Obehörig läsning | Ja |
| CVE-2015-5477 | ISC BIND 9.x | Överbelastning | Ja |
| CVE-2016-3081 | Apache Struts, 2.3-serien | Fjärrkörning av kod | Ja |
| CVE-2019-11510 | Pulse Connect Secure | Obehörig läsning | Nej |
| CVE-2021-22205 | GitLab | Fjärrkörning av kod | Nej |
| CVE-2021-3199 | ONLYOFFICE DocumentServer | Obehörig skrivning | Ja |
| CVE-2023-22894 | Strapi | Informationsläckage | Ja |
Varningen säger att dessa CVE:er hämtades från skannerns penetrationstestskript och utnyttjades framgångsrikt. Inget på listan kräver en ny exploit. Det krävs mjukvara som ingen patchat och som nås från internet, och Microscan, i bruk sedan åtminstone 2017, innehåller över 1 300 sådana skript.
Hur aktörerna kommer in och stannar
Varningen beskriver en kort kedja som börjar med en skanning. Verktyg som nmap och masscan tittar på portarna 21, 22, 53, 80, 443 och 1080, och aktörerna utnyttjar sedan det de hittar eller skördar lösenord med cross-site scripting-kod som visar en falsk inloggningsruta.
För e-post använder de ett open source-verktyg kallat EBurst för att spreja och gissa lösenord mot inloggningsgränssnitt i Microsoft Exchange, bland annat Outlook Web Access, Exchange Web Services och Autodiscover. För att stanna installerar de SoftEther VPN-klienter, ofta namngivna conhost.exe eller dllhost.exe, som slutpunktsskydd mer sällan flaggar eftersom programmet är legitimt. Skript drar sedan ut e-post och inloggningsuppgifter.
Vad ni kan kontrollera i veckan
Börja med exponeringen, för varje steg ovan börjar med något som nås från internet. Lista vad som svarar på portarna 21, 22, 53, 80, 443 och 1080 och stäng det ingen använder, vilket är varningens första rekommenderade åtgärd.
Jämför sedan er mjukvara med tabellen. Kör ni ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi eller en opatchad Bash, kontrollera versionen och patcha eller ta bort den. Varningen råder också att byta ut produkter som nått slutet av sin livstid.
Kräv slutligen flerfaktorsautentisering vid inloggning på webbmail och VPN, vilket varningen lyfter fram, och granska webbapplikationernas loggar efter försök till sökvägsgenomgång, kommandoinjektion och kartläggning. För organisationer i Storbritannien och EU är signalen att NCSC och Spaniens CNI var medunderskrivare och att domstolshandlingar nämner en polsk flygplats bland de skannade nätverken, så detta är inte bara en amerikansk historia.
Läs vidare: Tyskland sätter 2030 och 2035 som kvantfrister | NetScalers tredje zero-day på 90 dagar
