APT 'Volt Typhoon' של סין מנצלת כעת את Zoho ManageEngine

הועלה מחדש על ידי אפלטון

עוקב: 0

האיום המתקדם המתמשך (APT) "Volt Typhoon", הידוע גם "Vanguard Panda", שנתגלה לאחרונה בגיבוי המדינה של סין, זוהה תוך שימוש בפגיעות קריטית ב-ManageEngine ADSelfService Plus של Zoho, פתרון כניסה יחידה וניהול סיסמאות. וכעת הוא כולל שפע של מנגנוני התגנבות שטרם נחשפו.

וולט טייפון עלה על הפרק בחודש שעבר, הודות לדיווחים משותפים של מיקרוסופט ו סוכנויות ממשלתיות שונות. הדיווחים הדגישו את הדבקה של הקבוצה בתשתיות קריטיות באזור האוקיינוס השקט, שישמשו כראש חוף עתידי אפשרי במקרה של עימות עם טייוואן.

הדוחות פירטו מספר הטקטיקות, הטכניקות והנהלים של וולט טייפון (TTP), לרבות השימוש בו מכשירי Fortinet FortiGuard החשופים לאינטרנט לפריצה ראשונית, והסתרת פעילות הרשת באמצעות נתבים, חומות אש וחומרת VPN שנפגעו.

אבל מסע פרסום שהתווה לאחרונה על ידי CrowdStrike ב פוסט בבלוג האחרון מציע כי וולט טייפון גמיש, עם יכולת להתאים אישית את הטקטיקה שלו על סמך נתונים שנאספו באמצעות סיור נרחב. במקרה זה, הקבוצה השתמשה CVE-2021-40539 ב-ManageEngine לחדירה, ואז הסתיר את מעטפת האינטרנט שלה כתהליך לגיטימי ומחק יומנים תוך כדי.

טקטיקות אלו שלא היו ידועות בעבר אפשרו "גישה נרחבת לסביבת הקורבן לתקופה ממושכת", אומר טום את'רידג', קצין השירותים המקצועיים העולמיים הראשיים של CrowdStrike, שלא חשף פרטים על מיקומו או הפרופיל של הקורבן. "הם הכירו את התשתית שהייתה ללקוח, והקפידו לנקות את עקבותיהם".

טקטיקות הסייבר המתפתחות של וולט טייפון

חושיהם העוקבים של חוקרי CrowdStrike עקצו כאשר נראה היה שפעילות חשודה נובעת מהרשת של הלקוח הלא מזוהה שלה.

נראה שהישות הלא מוכרת אז מבצעת איסוף מידע נרחב - בדיקת קישוריות רשת, תהליכי רישום, איסוף מידע על משתמשים ועוד הרבה יותר. זה "הצביע על היכרות עם סביבת היעד, עקב הרצף המהיר של הפקודות שלהם, כמו גם שיש להם שמות מארחים פנימיים וכתובות IP ספציפיות ל-ping, שיתופים מרוחקים לטעינה ותעודות טקסט רגיל לשימוש עבור [מכשירי ניהול Windows]", כתבו חוקרים בפוסט בבלוג שלהם.

התברר, לאחר חקירה מסוימת, שהתוקף - וולט טייפון - פרס קליפת אינטרנט לרשת שישה חודשים שלמים לפני כן. איך זה נעלם מעיניו כל כך הרבה זמן?

הסיפור התחיל ב CVE-2021-40539, פגיעות קריטית (9.8 ציון CVSS) של ביצוע קוד מרחוק (RCE) ב-ADSelfService Plus. תוכנת ManageEngine, ו-ADSelfService Plus בפרט, נחשף בצורה ביקורתית במספר הזדמנויות בשנים האחרונות (CVE-2021-40539 הוא אפילו לא הפגיעות הקריטית ביותר שלו 9.8 CVSS RCE - הכותרת הזו מגיעה אל CVE-2022-47966).

עם גישה ראשונית, התוקפים הצליחו להפיל מעטפת אינטרנט. כאן התחילה ההתגנבות המעניינת יותר, שכן החוקרים הבחינו "ה-webshell ניסתה להתחזות לקובץ לגיטימי של ManageEngine ADSelfService Plus על ידי הגדרת הכותרת שלו ל-ManageEngine ADSelfService Plus והוספת קישורים לתוכנת עזרה ארגונית לגיטימית."

הקבוצה המשיכה לשאוב אישורי מנהל ולנוע לרוחב ברשת. זה לקח גישה גסה יותר ידנית כדי לכסות את המסלולים שלו הפעם, תוך כדי "לאורך זמן רב כדי לנקות קובצי יומן מרובים ולהסיר קבצים עודפים מהדיסק", הסבירו החוקרים.

שיבוש הראיות היה נרחב, וכמעט חיסל את כל העקבות לפעילות זדונית. עם זאת, התוקפים שכחו למחוק את קוד המקור של Java והידור קבצי Class משרת האינטרנט הממוקד שלהם Apache Tomcat.

"אלמלא ההחמקה הקלה הזו שדווחה בבלוג, הם כנראה היו נעלמים מעיניהם", אומר את'רידג'.

כיצד להתגונן מפני מתקפות סייבר מסוג וולט טייפון

עד כה, וולט טייפון נצפתה מכוונת לארגונים במגזרי התקשורת, הייצור, השירות, התחבורה, הבנייה, הימי, הממשל, טכנולוגיית המידע והחינוך. עם זאת, זה בולט ביותר בחיפוש אחר תשתית קריטית בארצות הברית ובגואם - נקודה אסטרטגית של הגנה אמריקאית על טייוואן נגד סין.

לטענת את'רידג', חלק מאותם עקרונות במחקר המקרה הזה יכולים להיות מיושמים באותה מידה על פרצת תשתית קריטית. "סביבות מסוג טכנולוגיה תפעולית (OT) ממוקדות בדרך כלל דרך תשתית IT תחילה, לפני ששחקן האיום עובר לתשתית", הוא מציין. "אין ספק שהטקטיקות שאנו רואים אותם מפעילים תהיה מודאגת מנקודת מבט קריטית של תשתית."

כדי להתמודד עם האיום של וולט טייפון, אומר את'רידג', נקודה מרכזית אחת היא ניהול זהויות.

"זהות היא אתגר עצום עבור הרבה ארגונים. ראינו עלייה עצומה בפרסומות של אישורים גנובים, ואישורים גנובים ממונפים בצורה די נרחבת בתקריות שאנו מגיבים אליהן כל יום ויום", הוא אומר. במקרה הזה, היכולת למנף אישורים גנובים הייתה המפתח להישארותו של וולט טייפון מתחת לרדאר במשך כל כך הרבה חודשים.

את'רידג' מדגישה גם את החשיבות של ציד איומים ותגובה לאירועים. ידוע לשמצה בלתי אפשרי לעצור את גורמי האיום של מדינות הלאום, אבל ארגונים יהיו מוכנים יותר לצמצם את ההשלכות הגרועות ביותר האפשריות, הוא אומר, אם הם מסוגלים "להבין מתי משהו קורה בסביבה שלך, ולהיות מסוגלים לקחת פעולה מתקנת במהירות".