Sophos bugün "Pasifik Rim" olarak adlandırılan bir dizi raporu, siber güvenlik şirketinin 5 yılı aşkın bir süredir Çin tehdit aktörleriyle nasıl devam ettiğini detaylandırdı, çünkü Sophos'tan da dahil olmak üzere dünya çapında ağ cihazlarını giderek daha fazla hedeflediler.
Siber güvenlik firmaları yıllarca işletmeleri, Çin tehdit aktörlerinin, ağ iletişimlerini izlemelerini, kimlik bilgilerini çalmalarını veya aktarılan saldırılar için proxy sunucuları olarak hareket etmelerini sağlayan özel kötü amaçlı yazılımlar yüklemek için Edge Networking cihazlarındaki kusurları kullandıkları konusunda uyardı.
Bu saldırılar Fortinet, Barracuda, Sonicwall, Check Point, D-Link, Cisco, Juniper, Netgear, Sophos ve daha fazlası dahil olmak üzere tanınmış üreticileri hedef aldı.
Sophos, bu etkinliği, geçmişte ağ cihazlarını hedeflediği bilinen Volt Typhoon, APT31 ve APT41/Winnti olarak bilinen birden fazla Çinli tehdit aktörüne bağladı.
Sophos, "Beş yıldan fazla bir süredir Sophos, Sophos güvenlik duvarlarını hedefleyen, botnet, yeni istismar ve ısmarlama kötü amaçlı yazılımları hedefleyen birden fazla Çin merkezli grubu araştırıyor."
"Diğer siber güvenlik satıcılarının, hükümetlerin ve kolluk kuvvetlerinin yardımıyla, değişen güven seviyeleri ile Volt Typhoon, APT31 ve APT41/Winnti'ye gözlemlenen aktivite kümelerini atfetebildik."
Sophos, Hindistan merkezli bir Sophos yan kuruluşu olan Cyberoam'ın merkezini hedeflediklerinde 2018'de tehdit aktörleriyle tartışmaya başladıklarını söyledi. Araştırmacılar bunun tehdit aktörlerinin ağ cihazlarına yönelik saldırıları araştırmaya başladığı zaman olduğuna inanıyorlar.
O zamandan beri, tehdit aktörleri, kenar ağ cihazlarını hedeflemek için giderek daha fazla sıfır ve bilinen güvenlik açıklarını kullandı.
Sophos, sıfır gün güvenlik açıklarının çoğunun sadece satıcılarla değil, aynı zamanda Çin hükümeti ve ilişkili devlet destekli tehdit aktörleri tarafından da paylaşılan Çinli araştırmacılar tarafından geliştirildiğine inanıyor.
"Saldırılardan ikisinde (Asnarök ve daha sonra“ Kişisel Panda ”olarak adlandırılan bir saldırı), X-OPS böcek ödül araştırmacıları arasında savunma açıklarını ve bu raporda izlenen rakip grupları sorumlu bir şekilde ifşa eden bağlantılar ortaya çıkardı. X-ops orta güvenle değerlendirdi. Chengdu'daki eğitim kuruluşları etrafında toplanan bir araştırma topluluğunun varlığı, güvenlik açığı araştırması ve bulgularını devlet adına saldırı operasyonları da dahil olmak üzere hem satıcılar hem de kuruluşlarla paylaştığına inanılıyor. , bu faaliyetlerin tam kapsamı ve doğası kesin olarak doğrulanmamıştır. "
Yıllar boyunca, Çin tehdit aktörleri, sadece bellek kötü amaçlı yazılımları, gelişmiş kalıcılık tekniklerini ve tehlikeye atılan ağ cihazlarının tespitten kaçınmak için büyük operasyonel röle kutusu (ORBS) proxy ağları olarak kullanılması için taktiklerini geliştirdi.
Bu saldırıların birçoğu siber güvenlik araştırmacılarını savunmaya sokarken, Sophos da rahatsız edici olduğu bilinen cihazlara özel implantlar ekerek saldırıya devam etme fırsatı buldu.
Sophos, "Telemetriden avlanan X-OPS analistleri, X-OP'lerin yüksek güvenle çift sarmal varlığa ait olduğu sonucuna varan bir cihaz belirledi."
"Hukuk müşavirine danıştıktan sonra X-Ops, hedeflenen implantı konuşlandırdı ve basit bir Perl senaryosu yazmak ve çalıştırmak için VIM kullanarak saldırganı gözlemledi."
Diyerek şöyle devam etti: "Düşük değere sahipken, dağıtım, saldırgan kontrollü cihazlarda gerçek zamana yakın gözlemlenebilirlik sağlayarak istihbarat toplama yeteneğinin değerli bir gösterisi olarak hizmet etti."
Bu implantlar, Sophos'un bir ağ cihazına dağıtıldığı gözlenen bir UEFI bootkit de dahil olmak üzere tehdit aktörleri hakkında değerli veri toplamasına izin verdi.
Bu cihaz, Chengdu merkezli bir şirket tarafından telemetri o bölgedeki bir IP adresine gönderen bir şirket tarafından satın alındı. Sophos, bu bölgenin ağ cihazlarını hedefleyen kötü niyetli etkinliklerin merkez üssü olduğunu söylüyor.
Sophos'un çoklu raporları son derece ayrıntılıdır, olayların bir zaman çizelgesini paylaşır ve savunucuların kendilerini saldırılardan nasıl koruyabilecekleri hakkında ayrıntılar.
"Pasifik Rim" araştırmasıyla ilgilenenler için buradan başlamalısınız.
Bilgisayar korsanları PTZ kameralarda kritik sıfır gün güvenlik açığını hedeflemek
Masif Psaux Fidye Yazılımı Saldırısı 22.000 CyberPanel Örneği
70'den fazla sıfır gün kusuru bilgisayar korsanlarına Pwn2own İrlanda'da 1 milyon dolar alıyor
Fortinet, sıfır gün saldırılarında kullanılan yeni eleştirel fortimanager kusurunu uyarıyor
QNAP, Synology, Lexmark Cihazları PWN2OWN 3. gününde hacklendi
Kaynak: Bleeping Computer