Çin devlet destekli tehdit aktörleri, federal ajans tarafından kullanılan bir uzaktan destek platformunu ihlal ettikten sonra ABD Hazine Departmanını hackledi.
Milletvekillerine gönderilen ve New York Times tarafından görülen bir mektupta, Hazine Bakanlığı milletvekillerine ilk olarak 8 Aralık'ta satıcı BeyondTrust tarafından ihlalden haberdar edildiği konusunda uyardı.
BeyondTrust, bilgisayarlara uzaktan erişmek için kullanılabilecek bir uzaktan destek SaaS platformu sunan ayrıcalıklı bir erişim yönetim şirketidir.
New York Times tarafından görülen mektubu "Mevcut göstergelere dayanarak, Çin devlet destekli gelişmiş kalıcı tehdit (APT) aktörüne atfedildi."
Diyerek şöyle devam etti: "Hazine politikasına uygun olarak, bir APT'ye atfedilebilen müdahaleler büyük bir siber güvenlik olayı olarak kabul edilir."
Bu ayın başlarında, BleepingComputer, BeyondRrust'un ihlal edildiğini, tehdit aktörlerinin şirketin uzak destek SaaS örneklerinden bazılarına eriştiğini bildirdi.
Bu ihlalin bir parçası olarak, tehdit aktörleri, yerel uygulama hesapları için şifreleri sıfırlamak ve sistemlere daha fazla ayrıcalıklı erişim elde etmek için çalıntı bir uzaktan destek SaaS API anahtarı kullandı.
Saldırıyı araştırdıktan sonra, BeyondTrust, tehdit aktörlerinin SaaS örneklerini ihlal etmesine ve devralmasına izin veren CVE-2024-12356 ve CVE-2024-12686 olmak üzere iki sıfır günlük güvenlik açığı keşfetti.
Hazine Departmanı bu tehlikeye atılan durumlardan birinin müşterisi olduğundan, tehdit aktörleri platformu ajans bilgisayarlarına erişmek ve belgeleri uzaktan çalmak için kullanabildiler.
BeyondTrust ihlali tespit ettikten sonra, tehlikeye atılan tüm örnekleri kapattılar ve çalınan API anahtarını iptal ettiler.
Mektupta, FBI ve CISA'nın Hazine Departmanı ihlaliyle ilgili soruşturmaya yardımcı olduğunu ve Çin tehdit aktörlerinin artık tehlikeye atılan örneklerin kapatıldığı için ajansın bilgisayarlarına hala eriştiğine dair bir kanıt olmadığını söylüyor.
"Salt Typhoon" adlı Çin devlet destekli tehdit aktörleri, Verizon, AT&T, Lument ve T-Mobile dahil olmak üzere dokuz ABD telekomünikasyon şirketinin son hack'leriyle de bağlantılı. Tehdit aktörlerinin onlarca başka ülkede telekom firmalarını ihlal ettiklerine inanılıyor.
Tehdit aktörleri, hedeflenen bireylerin kısa mesajları, sesli mesajları ve telefon görüşmelerini hedeflemek ve yasa uygulama tarafından soruşturma altındaki kişilerin telekap bilgilerine erişmek için bu erişimi kullandılar.
Bu telekom ihlalinden bu yana CISA, üst düzey hükümet yetkililerini iletişim müdahalesi risklerini azaltmak için sinyal gibi uçtan uca şifreli mesajlaşma uygulamalarına geçmeye çağırdı.
ABD hükümetinin Çin Telekom'un son aktif ABD operasyonlarını telekom saldırılarına yanıt olarak yasaklamayı planladığı bildiriliyor.
BleepingComputer, Dışişleri Bakanlığı'na ihlal hakkında daha fazla soru gönderdi, ancak henüz bir cevap almadı.
BeyondTrust, bilgisayar korsanlarının uzaktan destek SaaS örneklerini ihlal ettiğini söylüyor
Otomobil Parçaları Dev LKQ, Siber Attack'in Kanada İş Birimi'ni bozduğunu söylüyor
Wyden, Tuz Typhoon Hacks'ten sonra ABD telekomlarını güvence altına almayı öneriyor
T-Mobile, son telekom ihlal dalgasında hacklendiğini doğrular
Yeni ayrıntılar, bilgisayar korsanlarının 35 Google Chrome uzantısını nasıl ele geçirdiğini ortaya koyuyor
Kaynak: Bleeping Computer