Kineski hakeri iskorištavaju poznate nedostatke od 2021

Nedavni napadi koje je kineska grupa Salt Typhoon navodno izvela telekomunikacijskim kompanijama i zemljama među njima bili bi Brazil 'SA je ostavila cijeli svijet u pripravnosti. Vijesti govore o nivou sofisticiranosti invazija i, što je alarmantnije 'kriminalci bi, teoretski, i dalje bili unutar mreža ovih kompanija.

Prve informacije o ovoj grupi stigle su 2021. godine, kada je Microsoftov tim Threat Intelligence objavio informacije o tome kako se Kina uspješno infiltrirala u nekoliko provajdera internetskih usluga kako bi nadzirala kompanije i uhvatila podatke. Jedan od prvih napada koje je grupa izvela bio je zbog kršenja u Cisco ruterima, koji je služio kao kapija za praćenje internet aktivnosti koje se odvijaju putem ovih uređaja. Jednom kada je pristup dobijen, hakeri su uspjeli proširiti svoj domet na dodatne mreže. U oktobru 2021. Kaspersky je potvrdio da su sajber kriminalci već proširili napade na druge zemlje kao što su Vijetnam, Tajland i Indonezija. 

Ako su prve ranjivosti već bile poznate od 2021. ZAŠTO smo i dalje napadnuti? Odgovor leži upravo u tome kako se svakodnevno nosimo s ovim ranjivostima.

Metoda kršenja

Sada, posljednjih dana, vladine informacije potvrdile su niz napada na kompanije i country“ - koji su se dogodili iz poznatih ranjivosti u VPN aplikaciji, proizvođača Ivanti, Fortinet Forticlient EMS, koji se koristi za praćenje servera, zaštitnih zidova Sophos i Microsoft Exchange servera. 

Microsoftova ranjivost je otkrivena 2021. godine kada je, ubrzo nakon toga, kompanija objavila popravke. Nedostatak u zaštitnim zidovima Sophos je objavljen 2022. i ispravljen u septembru 2023. Problemi pronađeni u Forticlientu postali su javni 2023. i ispravljeni u martu 2024. kao i Ivantijevi, kojima su takođe registrovani CVE (Zajedničke ranjivosti i izloženosti) 2023. Kompanija je, međutim, ispravila ranjivost tek prošlog oktobra. 

Sve ove ranjivosti omogućile su kriminalcima da se lako infiltriraju u napadnute mreže, koristeći legitimne akreditive i softver, što čini otkrivanje ovih upada gotovo nemogućim. Odatle su se kriminalci bočno kretali unutar ovih mreža, postavljajući zlonamjerni softver, koji je pomogao u dugoročnom špijunskom radu. 

Ono što je alarmantno u vezi s nedavnim napadima je da su metode koje koriste hakeri grupe Salt Typhoon u skladu s dugoročnim taktikama uočenim u prethodnim kampanjama koje se pripisuju kineskim državnim agentima. Ove metode uključuju korištenje legitimnih akreditiva za maskiranje zlonamjernih aktivnosti kao rutinskih operacija, što otežava identifikaciju konvencionalnih sigurnosnih sistema.Fokus na široko korišteni softver kao što su VPN-ovi i firewall pokazuje dubinsko poznavanje ranjivosti u korporativnim i vladinim okruženjima.

Problem ranjivosti

Iskorišćene ranjivosti takođe otkrivaju zabrinjavajući obrazac: kašnjenja u primeni zakrpa i ažuriranja. Uprkos popravkama koje su proizvođači stavili na raspolaganje, operativna realnost mnogih kompanija otežava trenutnu implementaciju ovih rešenja. Testiranje kompatibilnosti, potreba da se izbegnu poremećaji na kritične misije sistemi, au nekim slučajevima i nedostatak svijesti o ozbiljnosti kvarova doprinose povećanom roku izloženosti.

Ovo pitanje nije samo tehničko, već i organizaciono i strateško, koje uključuje procese, prioritete i, često, korporativnu kulturu.

Kritični aspekt je da mnoge kompanije tretiraju provođenje zakrpa kao zadatak “sekundarni” u poređenju sa operativnim kontinuitetom. Ovo stvara takozvanu dilemu zastoja, gdje lideri moraju odlučiti između trenutnog prekida usluge za nadogradnju sistema i potencijalnog rizika od buduće eksploatacije. Međutim, nedavni napadi pokazuju da odlaganje ovih ažuriranja može biti mnogo skuplje, kako finansijski tako i reputacijski.

Osim toga, testiranje kompatibilnosti je uobičajeno usko grlo.Mnoga poduzetnička okruženja, posebno u industrijama kao što su telekomunikacije, rade sa složenom kombinacijom naslijeđa i modernih tehnologija.Ovo čini da svako ažuriranje zahtijeva značajan napor da osigura da zakrpa ne uzrokuje probleme u zavisnim sistemima.Ova vrsta njege je razumljiva, ali se može ublažiti usvajanjem praksi kao što su robusnija testna okruženja i automatizirani procesi validacije.

Još jedna stvar koja doprinosi kašnjenju u primjeni zakrpa je nedostatak svijesti o ozbiljnosti kvarova. Često IT timovi potcjenjuju važnost određenog CVE-a, posebno kada do danas nije široko istražen. Problem je u tome što se prozor mogućnosti za napadače može otvoriti prije nego što organizacije shvate ozbiljnost problema. Ovo je polje u kojem obavještavanje o prijetnjama i jasna komunikacija između dobavljača tehnologije i kompanija mogu napraviti svu razliku.

Konačno, kompanije moraju usvojiti proaktivniji i prioritetniji pristup upravljanju ranjivošću, koji uključuje automatizaciju procesa zakrpanja, segmentiranje mreža, ograničavanje uticaja mogućih upada, rutinu redovnog simulacije mogućih napada, što pomaže u pronalaženju potencijalnog “weak poena”. 

Pitanje kašnjenja zakrpa i ažuriranja nije samo tehnički izazov, već i prilika za organizacije da transformišu svoj sigurnosni pristup, čineći ga agilnijim, prilagodljivijim i otpornijim. Iznad svega, ovaj način rada nije nov, a stotine drugih napada se izvode s njim modus operandi, od ranjivosti koje se koriste kao kapija. Iskorištavanje ove lekcije može biti razlika između toga da ste žrtva ili da budete spremni za sljedeći napad.