Новые хакеры, связанные с Китаем, взломали телекоммуникационные компании, используя уязвимости на периферийных устройствах.

[admin]

Искусный злоумышленник, использующий вредоносное ПО на базе Linux для атак на телекоммуникационные компании, недавно расширил свою деятельность, включив в нее организации в Юго-Восточной Европе.


По данным Cisco Talos, этот субъект, получивший внутренний идентификатор UAT-7290, демонстрирует явные признаки связи с Китаем и обычно фокусируется на телекоммуникационных компаниях Южной Азии в своих операциях по кибершпионажу.


Активная как минимум с 2022 года, группа UAT-7290 также выступает в качестве группы первоначального доступа, создавая инфраструктуру оперативного ретрансляционного блока (ORB) во время атак, которая затем используется другими связанными с Китаем субъектами угроз.

По словам исследователей, хакеры проводят тщательную разведку перед взломом и используют сочетание специально разработанного и открытого вредоносного ПО, а также общедоступных эксплойтов для известных уязвимостей в периферийных сетевых устройствах.


«UAT-7290 использует эксплойты однодневного действия и целенаправленный брутфорс SSH для компрометации общедоступных периферийных устройств с целью получения первоначального доступа и повышения привилегий в скомпрометированных системах», — говорится в отчете Cisco Talos. сегодняшнем

арсенал UAT-7290​

UAT-7290 в основном использует вредоносный набор программ на базе Linux, иногда применяя и программы для Windows, такие как RedLeaves и ShadowPad, которые широко распространены среди множества субъектов, связанных с Китаем.


Компания Cisco выделяет следующие семейства вредоносных программ для Linux, связывая их с UAT-7290:

• RushDrop (ChronosRAT) – первоначальный загрузчик, запускающий цепочку заражения. Выполняет базовые проверки на безопасность виртуальных машин, создает или проверяет скрытую директорию .pkgdb и декодирует три встроенных бинарных файла: daytime (исполнитель DriveSwitch), chargen (имплант SilentRaid) и busybox, легитимную утилиту Linux, используемую для выполнения команд.
• DriveSwitch – периферийный компонент, обнаруженный RushDrop, основная функция которого заключается в запуске импланта SilentRaid на скомпрометированной системе.
• SilentRaid (MystRodX) – основной постоянный имплант, написанный на C++ и построенный на основе плагинной архитектуры. Он выполняет базовые проверки на защиту от анализа, разрешает свой домен C2 с помощью общедоступного DNS-сервера Google; поддерживает удаленный доступ к командной оболочке, переадресацию портов, файловые операции, архивирование каталогов с помощью tar, доступ к /etc/passwd и сбор атрибутов сертификатов X.509.
• Bulbature — это имплантат на базе Linux, упакованный с использованием UPX, ранее описанный компанией Sekoia, который используется для преобразования скомпрометированных устройств в операционные ретрансляционные блоки (ORB). Он прослушивает настраиваемые порты, открывает обратные оболочки и хранит конфигурацию C2 в /tmp/*.cfg, поддерживает ротацию C2 и использует самоподписанный TLS-сертификат.

Сертификат TLS Bulbature, идентичный тому, который ранее описывал Sekoia, обнаружен на 141 хосте, расположенном в Китае и Гонконге, IP-адреса которых были связаны с другими семействами вредоносных программ, такими как SuperShell, GobRAT и маяки Cobalt Strike.

В отчете Cisco Talos приводятся технические подробности о вредоносном ПО, используемом UAT-7290, а также список индикаторов компрометации, которые помогут организациям защититься от этого злоумышленника.