Kinesiska hackare bryter mot amerikanska internetleverantörer i hemlig cyberspionage

I en snabbväxande värld där teknik driver en stor del av vårt dagliga liv, växer det osynliga hotet från cyberspionage, och ingen är immun. Den senaste incidenten i denna pågående cyberstrid har uppmärksammat kinesisk-stödda hackare som har infiltrerat amerikanska internetleverantörer (ISP) och avslöjat sårbarheterna även inom starkt förstärkta nätverk.

Denna kampanj, enligt The Wall Street Journal , är kopplad till en hotgrupp som Microsoft spårar som Salt Typhoon. Även kallade FamousSparrow eller GhostEmperor, har dessa hackare orkestrerat en sofistikerad attack mot en "handfull" internetleverantörer i ett försök att extrahera känslig information. Huvudmålen för dessa typer av kampanjer är vanligtvis kritisk infrastruktur, och den här instansen är inte annorlunda.

Hackarnas metoder

Rapporter tyder på att dessa cyberbrottslingar kan ha kommit åt själva hjärtat av internetinfrastrukturen – Cisco Systems routrar. Dessa routrar är ansvariga för att dirigera en betydande del av internettrafiken, vilket gör dem till ett idealiskt mål för statligt sponsrade hackare som strävar efter att skapa bestående åtkomst till känsliga nätverk.

Gruppen bakom denna attack, GhostEmperor, dök upp först i cyberrampljuset i oktober 2021. Den identifierades ursprungligen av Kaspersky, ett ryskt cybersäkerhetsföretag, under utredningar av operationer riktade mot länder i Sydostasien. Deras attacker involverade att distribuera ett kraftfullt rootkit som heter Demodex, som gjorde det möjligt för dem att utföra spionage oupptäckt. Inte bara påverkade deras ansträngningar stora enheter i Malaysia, Vietnam och Thailand, utan de nådde också avlägsna mål på platser som Egypten och Etiopien.

Snabbspolning framåt till juli 2024 upptäckte cybersäkerhetsföretaget Sygnia ännu en attack från GhostEmperor. Den här gången komprometterades en icke namngiven organisation och genom den föll även en av dess affärspartners offer. Undersökningar visade att gruppen hade distribuerat flera verktyg, inklusive en modifierad version av Demodex, för att kommunicera med kommando-och-kontrollservrar, vilket framhävde deras tekniska skicklighet och beslutsamhet.

Kinesiskt cyberspionage är ett pågående hot

Avslöjandet av denna attack kom bara några dagar efter att den amerikanska regeringen störde ett stort botnät med 260 000 enheter kallat "Raptor Train". Detta botnät, som drivs av en annan kinesisk-länkad grupp känd som Flax Typhoon, lägger till en rad aggressiva cyberkampanjer som har tillskrivits Kina de senaste åren.

Dessa obevekliga attacker understryker den ständigt närvarande faran som utgörs av statligt sponsrade aktörer, särskilt de som är i linje med Peking. Deras fokus på att infiltrera telekommunikationer, ISP:er och annan kritisk infrastruktur tjänar som en påminnelse om hur viktigt det är att stärka cybersäkerhetsförsvar över sektorer.

Persistens och datastöld

Det som gör dessa cyberintrång särskilt alarmerande är deras strategiska karaktär. Det primära syftet med dessa attacker är att få långsiktig, hemlig tillgång till målnätverk. Väl inne kan angripare inte bara ta bort känslig data utan också positionera sig för att potentiellt störa eller skada system vid behov. Oavsett om målet är spionage eller förmågan att lamslå infrastruktur i framtida konflikter, är konsekvenserna enorma.

Fokus på ISP:er och telekomnätverk ökar insatserna ytterligare. Genom att kontrollera eller avlyssna trafik på en sådan grundläggande nivå kan hotaktörer övervaka kommunikation, störa tjänster och extrahera information av högt värde utan omedelbar upptäckt.

Hur kan företag skydda sig själva?

Även om inget försvar är helt idiotsäkert, kan organisationer vidta flera åtgärder för att minska risken för sådana cyberspionagekampanjer:

1. Kontinuerlig övervakning: Implementering av realtidsövervakning för ovanlig nätverksaktivitet kan hjälpa till att fånga intrång tidigt.
2. Patchhantering: Regelbundna uppdateringar och patchning av system, särskilt kritiska infrastrukturkomponenter som routrar, är avgörande.
3. Zero Trust Architecture: Att byta till en noll-trust-modell, där användare, enheter och system måste autentiseras kontinuerligt, kan hjälpa till att begränsa åtkomsten till känsliga områden.
4. Samarbete med cybersäkerhetsexperter: Att samarbeta med säkerhetsspecialister från tredje part, som i fallet med Sygnia, kan hjälpa till att avslöja och reagera på avancerade hot.

De bredare konsekvenserna

När cyberkrigföring utvecklas handlar insatserna inte längre bara om datastöld. Vi bevittnar ett globalt schackspel där länder som Kina utnyttjar sin cyberkapacitet för att luta vågen till deras fördel. I denna nya era är infrastruktur lika mycket ett mål som traditionella underrättelsetjänster eller militära tillgångar.

De senaste avslöjandena om GhostEmperor-gruppen och deras infiltration av amerikanska internetleverantörer är en skarp påminnelse om hur ömtåliga även de mest robusta systemen kan vara. För organisationer över hela världen handlar det inte bara om att ligga steget före, utan om att förstå att cyberslagfältet alltid utvecklas – och fienderna är närmare än vi tror.

I denna nya värld är beredskap och vaksamhet de viktigaste försvarsmekanismerna vi har till vårt förfogande. Oavsett om det är genom statliga åtgärder eller företagsinitiativ, är kampen mot statligt sponsrat cyberspionage en kamp som kräver konstant innovation, samarbete och uppmärksamhet.