Nová hackerská skupina APT zameraná na palivový, energetický a letecký priemysel

Bol identifikovaný predtým nezdokumentovaný aktér hrozby, ktorý stojí za sériou útokov zameraných na palivový, energetický a letecký priemysel v Rusku, USA, Indii, Nepále, Taiwane a Japonsku s cieľom ukradnúť dáta z napadnutých sietí.

Spoločnosť zaoberajúca sa kybernetickou bezpečnosťou Positive Technologies nazvala skupinu pokročilých perzistentných hrozieb (APT) ChamelGang – odvolávajúc sa na ich chameleellonické schopnosti vrátane maskovania „svojho malvéru a sieťovej infraštruktúry pod legitímne služby Microsoftu, TrendMicro, McAfee, IBM a Google“.

“Na dosiahnutie svojho cieľa útočníci použili trendovú penetračnú metódu – dodávateľský reťazec,” povedali vedci o jednom z incidentov, ktoré firma vyšetrovala. “Skupina kompromitovala dcérsku spoločnosť a prenikla cez ňu do siete cieľovej spoločnosti. Útoky na dôveryhodný vzťah sú dnes zriedkavé kvôli zložitosti ich vykonávania. Pomocou tejto metódy […], skupina ChamelGang bola schopná dosiahnuť svoj cieľ a ukradnúť dáta z napadnutej siete.“

Predpokladá sa, že prieniky zo strany protivníka sa začali koncom marca 2021, pričom neskoršie útoky v auguste využili takzvaný reťazec zraniteľností ProxyShell ovplyvňujúci servery Microsoft Exchange, ktorého technické detaily boli prvýkrát odhalené na bezpečnostnom podujatí Black Hat USA 2021. konferencii začiatkom toho mesiaca.

Marcový útok je pozoruhodný aj tým, že operátori porušili dcérsku organizáciu, aby získali prístup do siete nemenovanej energetickej spoločnosti, a to tým, že využili chybu v Red Hat JBoss Enterprise Application (CVE-2017-12149) na vzdialené vykonávanie príkazov na hostiteľovi. a nasadiť škodlivé užitočné zaťaženia, ktoré umožňujú aktérovi spustiť malvér so zvýšenými privilégiami, laterálne sa otáčať po sieti a vykonávať prieskum pred nasadením zadných vrátok s názvom DoorMe.

“Infikovaní hostitelia boli kontrolovaní útočníkmi pomocou verejnej utility FRP (fast reverse proxy), napísanej v Golangu,” uviedli vedci. “Tento nástroj umožňuje pripojenie k reverznému proxy serveru. Požiadavky útočníkov boli smerované pomocou doplnku socks5 cez adresu servera získanú z konfiguračných údajov.”

Na druhej strane, augustový útok proti ruskej spoločnosti v sektore leteckej výroby zahŕňal využitie nedostatkov servera ProxyShell (CVE-2021-34473, CVE-2021-34523 a CVE-2021-31207) na zhodenie ďalších webových škrupín a diaľkový prieskum napadnutého uzla, čo v konečnom dôsledku vedie k inštalácii upravenej verzie implantátu DoorMe, ktorý prichádza s rozšírenými schopnosťami spúšťať ľubovoľné príkazy a vykonávať operácie so súbormi.

“Zameranie na palivový a energetický komplex a letecký priemysel v Rusku nie je ojedinelé – tento sektor je jedným z troch najčastejšie napadnutých,” povedal Denis Kuvshinov, vedúci oddelenia analýzy hrozieb spoločnosti Positive Technologies. „Následky sú však vážne: Najčastejšie takéto útoky vedú k finančnej strate alebo strate údajov – v 84 % všetkých prípadov v minulom roku boli útoky špeciálne vytvorené s cieľom ukradnúť údaje, čo spôsobuje veľké finančné škody a škody na reputácii.“