211service.com
Cztery nowe grupy hakerów przyłączyły się do trwającej ofensywy przeciwko serwerom pocztowym Microsoft
Zdjęcie: Matthew Manuel na Unsplash
Kampania hakerska powiązana z chińskim rządem ujawniona przez Microsoft w tym tygodniu gwałtownie nabrała tempa. Co najmniej cztery inne odrębne grupy hakerów atakują obecnie krytyczne wady oprogramowania pocztowego Microsoft w ramach kampanii cybernetycznej, którą rząd USA opisuje jako szeroko rozpowszechnione wykorzystywanie krajowe i międzynarodowe, które może mieć potencjalny wpływ na setki tysięcy ofiar na całym świecie.
Od stycznia 2021 r. chińscy hakerzy znani jako Hafnium zaczęli wykorzystywać luki w zabezpieczeniach serwerów Microsoft Exchange. Ale skoro firma publicznie ujawnił we wtorek do kampanii dołączyły cztery kolejne grupy, a pierwotni chińscy hakerzy porzucili udawanie ukrywania się i zwiększyli liczbę przeprowadzanych przez siebie ataków. Rosnąca lista ofiar obejmuje dziesiątki tysięcy amerykańskich firm i urzędów państwowych, na które stają się celem nowych grup.
Istnieje co najmniej pięć różnych klastrów działalności, które wydają się wykorzystywać luki w zabezpieczeniach, mówi Katie Nickels, która kieruje zespołem wywiadowczym w firmie zajmującej się cyberbezpieczeństwem Red Canary, która bada włamania. Podczas śledzenia cyberzagrożeń analitycy wywiadu grupują grupy działań hakerskich według określonych technik, taktyk, procedur, maszyn, ludzi i innych obserwowanych cech. Jest to sposób na śledzenie zagrożeń hakerskich, z którymi mają do czynienia.
Według Microsoftu Hafnium to wyrafinowana chińska grupa hakerska, która od dawna prowadzi kampanie cyberszpiegowskie przeciwko Stanom Zjednoczonym. Są szczytowym drapieżnikiem — dokładnie takim, za którym zawsze śledzą oportunistyczni i sprytni padlinożercy.
Aktywność szybko weszła na wyższy poziom, gdy Microsoft ogłosił we wtorek ogłoszenie. Ale dokładnie, kim są te grupy hakerów, czego chcą i jak uzyskują dostęp do tych serwerów, pozostają niejasne. Możliwe, że pierwotna grupa Hafnium sprzedała lub udostępniła swój kod exploita lub że inni hakerzy dokonali inżynierii wstecznej exploitów w oparciu o poprawki opublikowane przez Microsoft, wyjaśnia Nickels.
Wyzwaniem jest to, że wszystko jest tak mroczne i tak wiele się pokrywa, mówi Nickels. To, co widzieliśmy, to to, że od czasu, gdy Microsoft opublikował informacje o hafnie, wykracza on poza sam hafn. Widzieliśmy aktywność, która różni się od taktyk, technik i procedur od tego, o czym informowali.
Wykorzystując luki w serwerach Microsoft Exchange, których organizacje używają do obsługi własnych usług pocztowych, hakerzy są w stanie stworzyć powłokę internetową — zdalnie dostępne narzędzie hakerskie, które z łatwością umożliwia dostęp tylnymi drzwiami i kontrolę nad zainfekowaną maszyną — co pozwala im na kontroluj skompromitowany serwer przez Internet, a następnie przestawiaj się na kradzież danych z całej sieci docelowej. Powłoka sieciowa oznacza, że chociaż Microsoft wprowadził poprawki dla usterek — które według firmy tylko 10% klientów Exchange zastosowało do piątku — przeciwnik nadal ma dostęp tylnymi drzwiami do swoich celów.
Zastosowanie poprawek oprogramowania Microsoftu jest kluczowym pierwszym krokiem, ale całkowity wysiłek związany z czyszczeniem będzie znacznie bardziej skomplikowany dla wielu potencjalnych ofiar, zwłaszcza gdy hakerzy swobodnie przeniosą się do innych systemów w sieci.
Ściśle współpracujemy z CISA [Agencją ds. Bezpieczeństwa Cybernetycznego i Infrastruktury], innymi agencjami rządowymi i firmami zajmującymi się bezpieczeństwem, aby zapewnić naszym klientom najlepsze możliwe wskazówki i środki łagodzące – mówi rzecznik Microsoftu. Najlepszą ochroną jest jak najszybsze zastosowanie aktualizacji we wszystkich systemach, których dotyczy problem. Nieustannie pomagamy klientom, zapewniając dodatkowe wskazówki dotyczące dochodzenia i łagodzenia skutków. Klienci dotknięci problemem powinni skontaktować się z naszymi zespołami pomocy technicznej, aby uzyskać dodatkową pomoc i zasoby.
Ponieważ wiele grup atakuje teraz luki, oczekuje się, że włamania w nieproporcjonalny sposób wpłyną na organizacje, które najmniej stać na obronę przed nimi, takie jak małe firmy, szkoły i samorządy lokalne. powiedział były amerykański urzędnik ds. cyberbezpieczeństwa Chris Krebs.
Dlaczego jednak? Krebs spytał na Twitterze. Czy jest to flex we wczesnych dniach administratora Bidena, aby przetestować ich determinację? Czy to wymykający się spod kontroli gang cyberprzestępczy? Wykonawcy oszaleli?
Powiązana historia
Odzyskiwanie po włamaniu do SolarWinds może zająć 18 miesięcy Szef agencji prowadzącej amerykańskie starania mające na celu naprawienie rosyjskiego ataku hakerskiego mówi, że odbudowa zajmie bardzo dużo czasu.
Z potencjalnie setkami tysięcy ofiar na całym świecie, ta kampania hakerska Exchange dotknęła więcej celów niż haker SolarWinds, którym obecnie jest rząd USA zmagający się posprzątać. Ale, podobnie jak w przypadku hacka SolarWinds, liczby to nie wszystko: rosyjscy hakerzy stojący za SolarWinds byli bardzo zdyscyplinowani i dążyli do określonych celów o wysokiej wartości, mimo że mieli potencjalny dostęp do wielu tysięcy.
To samo dotyczy tutaj. Nawet jeśli łączne liczby są alarmujące, nie wszystkie kompromisy są katastrofalne.
Wszystkie one nie są sobie równe, mówi Nickels. Istnieją wrażliwe serwery Exchange, w których drzwi są otwarte, ale nie wiemy, czy przeciwnik przez nie przeszedł. Istnieją serwery z niewielkimi zabezpieczeniami; może powłoka sieciowa została usunięta, ale nic poza tym. Jest też drugi koniec spektrum, gdzie przeciwnicy prowadzili kontynuację działań i przenieśli się do innych systemów.
Rzadko zdarza się, aby Biały Dom komentował kwestie związane z cyberbezpieczeństwem, ale administracja Bidena miała powód, aby dużo mówić o hakowaniu w ciągu pierwszych dwóch miesięcy urzędowania, między włamaniem na SolarWinds a ostatnim incydentem.
Martwimy się, że istnieje duża liczba ofiar i współpracujemy z naszymi partnerami, aby zrozumieć zakres tego zjawiska, powiedziała sekretarz prasowy Białego Domu Jen Psaki podczas piątkowej popołudniowej konferencji prasowej. Właściciele sieci muszą również zastanowić się, czy nie zostali już naruszeni i powinni natychmiast podjąć odpowiednie kroki.