Kinijos įsilaužėliai pažeidžia JAV interneto tiekėjus vykdydami slaptą kibernetinio šnipinėjimo operaciją

Sparčiai besivystančiame pasaulyje, kuriame technologijos lemia didžiąją mūsų kasdienio gyvenimo dalį, nematoma kibernetinio šnipinėjimo grėsmė auga ir niekas nėra apsaugotas. Naujausias incidentas šioje vykstančioje kibernetinėje kovoje atkreipė dėmesį į Kinijos remiamus įsilaužėlius, kurie įsiskverbė į JAV interneto paslaugų teikėjus (IPT) ir atskleidė pažeidžiamumą net labai sustiprintuose tinkluose.

Ši kampanija, kaip rašo „The Wall Street Journal“ , yra susijusi su grėsmių grupe, kurią „Microsoft“ seka kaip „Salt Typhoon“. Taip pat vadinami FamousSparrow arba GhostEmperor, šie įsilaužėliai surengė sudėtingą ataką prieš keletą IPT, siekdami išgauti neskelbtiną informaciją. Pagrindiniai tokio tipo kampanijų tikslai paprastai yra kritinė infrastruktūra, ir šis atvejis nesiskiria.

Įsilaužėlių metodai

Ataskaitos rodo, kad šie kibernetiniai nusikaltėliai galėjo pasiekti pačią interneto infrastruktūros esmę – „Cisco Systems“ maršrutizatorius. Šie maršrutizatoriai yra atsakingi už didelės interneto srauto dalies nukreipimą, todėl jie yra idealus tikslas valstybės remiamiems įsilaužėliams, kurie siekia sukurti nuolatinę prieigą prie jautrių tinklų.

Šią ataką sukėlusi grupė „GhostEmperor“ pirmą kartą kibernetinio dėmesio centre atsidūrė 2021 m. spalį. Iš pradžių ją nustatė Rusijos kibernetinio saugumo įmonė „Kaspersky“, tirdama operacijas, nukreiptas į Pietryčių Azijos šalis. Jų išpuoliai buvo susiję su galingo rootkit, pavadinto Demodex, dislokavimu, leidžiančiu jiems nepastebėti šnipinėti. Jų pastangos ne tik paveikė pagrindinius subjektus Malaizijoje, Vietname ir Tailande, bet ir pasiekė tolimus tikslus tokiose vietose kaip Egiptas ir Etiopija.

2024 m. liepos mėn. kibernetinio saugumo įmonė „Sygnia“ atskleidė dar vieną „GhostEmperor“ ataką. Šį kartą buvo pažeista neįvardyta organizacija, per ją auka tapo ir vienas jos verslo partneris. Tyrimai atskleidė, kad grupė panaudojo keletą įrankių, įskaitant modifikuotą Demodex versiją, kad galėtų bendrauti su komandų ir valdymo serveriais, pabrėždama jų techninį meistriškumą ir ryžtą.

Kinijos kibernetinis šnipinėjimas yra nuolatinė grėsmė

Ši ataka buvo atskleista praėjus vos kelioms dienoms po to, kai JAV vyriausybė sutrikdė didelį 260 000 įrenginių robotų tinklą, pavadintą „Raptor Train“. Šis robotų tinklas, kurį valdo kita su Kinija susijusi grupė, žinoma kaip „Flax Typhoon“, papildo daugybę agresyvių kibernetinių kampanijų, kurios pastaraisiais metais buvo priskirtos Kinijai.

Šie negailestingi išpuoliai pabrėžia nuolatinį pavojų, kurį kelia valstybės remiami veikėjai, ypač tie, kurie yra susiję su Pekinu. Jų dėmesys telekomunikacijų, interneto paslaugų teikėjų ir kitos svarbios infrastruktūros įsiskverbimui primena, kaip svarbu sustiprinti kibernetinio saugumo apsaugą visuose sektoriuose.

Patvarumas ir duomenų vagystė

Dėl šių kibernetinių įsibrovimų ypač nerimą kelia jų strateginis pobūdis. Pagrindinis šių išpuolių tikslas yra gauti ilgalaikę, slaptą prieigą prie tikslinių tinklų. Patekę į vidų, užpuolikai gali ne tik išsiurbti neskelbtinus duomenis, bet ir prireikus gali sutrikdyti ar sugadinti sistemas. Nesvarbu, ar tikslas yra šnipinėjimas, ar galimybė sugadinti infrastruktūrą būsimų konfliktų metu, pasekmės yra didžiulės.

Dėmesys IPT ir telekomunikacijų tinklams dar labiau padidina statymus. Valdydami arba perimdami srautą tokiu pagrindiniu lygiu, grėsmės veikėjai gali stebėti ryšius, trikdyti paslaugas ir išgauti didelės vertės informaciją be iš karto neaptikti.

Kaip įmonės gali apsisaugoti?

Nors jokia gynyba nėra visiškai patikima, organizacijos gali imtis kelių veiksmų, kad sumažintų tokių kibernetinio šnipinėjimo kampanijų riziką:

1. Nuolatinis stebėjimas: Neįprastos tinklo veiklos stebėjimas realiuoju laiku gali padėti anksti sugauti įsilaužimus.
2. Pataisų valdymas: būtina reguliariai atnaujinti ir pataisyti sistemas, ypač svarbius infrastruktūros komponentus, tokius kaip maršrutizatoriai.
3. Nulinio pasitikėjimo architektūra: perėjimas prie nulinio pasitikėjimo modelio, kai naudotojai, įrenginiai ir sistemos turi būti nuolat autentifikuojami, gali padėti apriboti prieigą prie jautrių sričių.
4. Bendradarbiavimas su kibernetinio saugumo ekspertais: bendradarbiaudami su trečiųjų šalių saugumo specialistais, kaip ir Sygnia atveju, gali padėti atskleisti pažangias grėsmes ir į jas reaguoti.

Platesnės pasekmės

Tobulėjant kibernetiniam karui, stabdoma ne tik duomenų vagystė. Esame pasaulinio šachmatų žaidimo liudininkai, kai tokios šalys kaip Kinija naudoja savo kibernetines galimybes, kad pakreiptų svarstykles savo naudai. Šioje naujoje eroje infrastruktūra yra toks pat tikslas kaip tradicinės žvalgybos agentūros ar kariniai ištekliai.

Naujausi apreiškimai apie „GhostEmperor“ grupę ir jų įsiskverbimą į JAV interneto paslaugų teikėjus yra ryškus priminimas, kokios trapios gali būti net pačios tvirtiausios sistemos. Organizacijoms visame pasaulyje svarbu ne tik būti vienu žingsniu priekyje, bet ir suprasti, kad kibernetinio mūšio laukas nuolat vystosi, o priešai yra arčiau, nei mes manome.

Šiame naujame pasaulyje pasirengimas ir budrumas yra pagrindiniai mūsų turimi gynybos mechanizmai. Nesvarbu, ar tai būtų vyriausybės veiksmai, ar įmonių iniciatyvos, kova su valstybės remiamu kibernetiniu šnipinėjimu yra kova, kuriai reikia nuolatinių naujovių, bendradarbiavimo ir dėmesio.