Podle zprávy Wall Street Journal (WSJ) provedla sofistikovaná čínská hackerská skupina rozsáhlý kybernetický útok na významné americké poskytovatele internetových služeb. Útok, který byl odhalen v posledních týdnech, pravděpodobně trval několik měsíců nebo i déle.
Cíle a dopad útoku
Hackeři, známí pod kódovým označením "Salt Typhoon", se zaměřili na sběr zpravodajských informací. Experti se domnívají, že mohli získat přístup k systémům používaným americkou federální vládou pro soudně povolené odposlouchávání.
Útočníci pravděpodobně zachytili obrovské množství internetového provozu od poskytovatelů služeb, jejichž zákazníky jsou jak velké, tak malé firmy a miliony Američanů. Přesný rozsah a typ zachycených a odcizených dat je stále předmětem vyšetřování.
Mohlo by vás zajímat
Kdo stojí za útokem?
Skupina "Salt Typhoon" je sledována různými bezpečnostními společnostmi pod různými názvy:
- Earth Estries (Trend Micro)
- FamousSparrow (ESET)
- Ghost Emperor (Kaspersky)
- UNC2286 (Mandiant, nyní součást Google Cloud)
Tato hackerská skupina je aktivní od roku 2019 a je považována za velmi nebezpečnou. Její útoky se obvykle zaměřují na vládní entity a telekomunikační společnosti, především v jihovýchodní Asii.
Mohlo by vás zajímat
Metody útoku
Hackeři obvykle získávají prvotní přístup k cílové síti využitím zranitelností, jako jsou například ProxyLogon zranitelnosti v Microsoft Exchange Serveru. V předchozích útocích skupina používala vlastní backdoor nazvaný SparrowDoor, upravené verze nástroje Mimikatz pro extrakci autentizačních dat a rootkit pro jádro Windows nazvaný Demodex.
Vyšetřovatelé stále zkoumají, jakou metodu útočníci použili pro získání prvotního přístupu v tomto případě. Jednou z možností, kterou zkoumají, je získání přístupu k routerům Cisco zodpovědným za směrování internetového provozu.
Mohlo by vás zajímat
Tento útok není ojedinělý. Čínské APT hackerské skupiny v poslední době stále častěji cílí na síťová zařízení a poskytovatele internetových služeb v USA a Evropě v rámci kybernetické špionáže. Například v září bezpečnostní výzkumníci a orgány činné v trestním řízení narušili masivní čínský botnet nazvaný "Raptor Train", který kompromitoval více než 260 000 SOHO routerů a IP kamer malwarem.
Zdroj: WSJ, Bleeding Computer, Security Week
