Hackerii chinezi exploatează defecte cunoscute din 2021

Recentele atacuri presupuse efectuate de grupul chinez Salt Typhoon către companii de telecomunicații și țări dintre acestea ar fi Brazilia 'SA a lăsat întreaga lume în alertă. Știrile vorbesc despre nivelul de sofisticare al invaziilor și, ceea ce este mai alarmant 'criminalii, teoretic, ar fi încă în rețelele acestor companii.

Primele informații despre acest grup au venit în 2021, când echipa Microsoft Threat Intelligence a lansat informații despre modul în care China s-a infiltrat cu succes în mai mulți furnizori de servicii de internet pentru a supraveghea companiile și a capta date. Unul dintre primele atacuri efectuate de grup a fost dintr-o breșă în routerele Cisco, care a servit drept poartă de acces pentru monitorizarea activităților de internet care au loc prin aceste dispozitive. Odată ce accesul a fost obținut, hackerii și-au putut extinde acoperirea la rețele suplimentare. În octombrie 2021, Kaspersky a confirmat că infractorii cibernetici au extins deja atacurile asupra altor țări precum Vietnam, Thailanda și Indonezia. 

Dacă primele vulnerabilități erau deja cunoscute din 2021, DE CE am fost încă atacați? Răspunsul constă tocmai în modul în care tratăm aceste vulnerabilități zilnic.

Metoda încălcării

Acum, în ultimele zile, informațiile guvernamentale au confirmat o serie de atacuri asupra companiilor și țărilor“ - care s-au întâmplat din vulnerabilitățile cunoscute într-o aplicație VPN, producătorul Ivanti, Fortinet Forticlient EMS, folosit pentru a monitoriza serverele, firewall-urile Sophos și, de asemenea, serverele Microsoft Exchange. 

Vulnerabilitatea Microsoft a fost dezvăluită în 2021 când, la scurt timp după aceea, compania a publicat remedierile. Defectul firewall-urilor Sophos a fost publicat în 2022 și corectat în septembrie 2023. Problemele găsite în Forticlient au devenit publice în 2023 și corectate în martie 2024, precum și cele ale Ivanti, care aveau și CVE-urile lor (Vulnerabilități și expuneri comune) înregistrate în 2023. Compania, totuși, a corectat vulnerabilitatea abia în octombrie anul trecut. 

Toate aceste vulnerabilitati au permis infractorilor sa se infiltreze cu usurinta in retelele atacate, folosind acreditari legitime si software, ceea ce face ca detectarea acestor intruziuni sa fie aproape imposibila De acolo, infractorii s-au deplasat lateral in cadrul acestor retele, implementand malware, care a ajutat in munca de spionaj pe termen lung. 

Ceea ce este alarmant la atacurile recente este faptul că metodele folosite de hackerii grupului Salt Typhoon sunt în concordanță cu tacticile pe termen lung observate în campaniile anterioare atribuite agenților de stat chinezi. Aceste metode includ utilizarea acreditărilor legitime pentru a masca activitățile rău intenționate ca operațiuni de rutină, ceea ce face dificilă identificarea prin sistemele de securitate convenționale. Accentul pe software-ul utilizat pe scară largă, cum ar fi VPN-urile și firewall-urile, demonstrează o cunoaștere aprofundată a vulnerabilităților din mediile corporative și guvernamentale.

Problema vulnerabilității

Vulnerabilitățile exploatate relevă și un tipar îngrijorător: întârzieri în aplicarea patch-urilor și actualizărilor. în ciuda remedierilor puse la dispoziție de producători, realitatea operațională a multor companii face dificilă implementarea imediată a acestor soluții.testarea compatibilității, necesitatea de a evita perturbările sistemelor critice pentru misiune și, în unele cazuri, lipsa de conștientizare a gravității defecțiunilor contribuie la creșterea ferestrei de expunere.

Această problemă nu este doar tehnică, ci și organizațională și strategică, implicând procese, priorități și, adesea, cultura corporativă.

Un aspect critic este că multe companii tratează aplicarea patch-urilor ca pe o sarcină de “altern” secundară în comparație cu continuitatea operațională. Acest lucru creează așa-numita dilemă a timpului de nefuncționare, în care liderii trebuie să decidă între întreruperea momentană a serviciului pentru modernizarea sistemelor și riscul potențial de exploatare viitoare. Cu toate acestea, atacurile recente arată că întârzierea acestor actualizări poate fi mult mai costisitoare, atât financiar, cât și reputațional.

În plus, testarea compatibilității este un blocaj comunMulte medii de întreprindere, în special în industrii precum telecomunicațiile, funcționează cu o combinație complexă de tehnologii vechi și moderne. Acest lucru face ca fiecare actualizare să necesite un efort considerabil pentru a se asigura că patch-ul nu cauzează probleme în sistemele dependente. Acest tip de îngrijire este de înțeles, dar poate fi atenuat prin adoptarea de practici precum medii de testare mai robuste și procese de validare automată.

Un alt punct care contribuie la întârzierea aplicării patch-urilor este lipsa de conștientizare cu privire la gravitatea eșecurilor. Adesea, echipele IT subestimează importanța unui anumit CVE, mai ales atunci când nu a fost explorat pe scară largă până în prezent. Problema este că fereastra de oportunitate pentru atacatori se poate deschide înainte ca organizațiile să realizeze gravitatea problemei. Acesta este un domeniu în care inteligența amenințărilor și comunicarea clară între furnizorii de tehnologie și companii pot face toată diferența.

În cele din urmă, companiile trebuie să adopte o abordare mai proactivă și mai prioritizată a managementului vulnerabilității, care să includă automatizarea proceselor de patching, segmentarea rețelelor, limitarea impactului posibilelor intruziuni, rutina de simulare regulată a posibilelor atacuri, care ajută la găsirea potențialelor “puncte slabe”. 

Problema întârzierilor de patch-uri și actualizări nu este doar o provocare tehnică, ci și o oportunitate pentru organizații de a-și transforma abordarea de securitate, făcând-o mai agilă, adaptabilă și rezistentă. Mai presus de toate, acest mod de operare nu este nou și sute de alte atacuri sunt efectuate cu el modus operandi, din vulnerabilități care sunt folosite ca o poartă de acces. valorificarea acestei lecții poate fi diferența dintre a fi o victimă sau a fi pregătit pentru următorul atac.