Microsoft: Китайски хакери са проникнали в инфраструктура на САЩ в Гуам

Атакуващите са целели хармонизиране на действията си с обичайните системни и мрежови дейности на Windows

Тайна група, базирана в Китай, е успяла да проникне в критична инфраструктура на военни бази на САЩ в Гуам, обявиха в сряда Microsoft и обединението Five Eyes ("Пет очи", алианс, обединяващ разузнавателните агенции на САЩ, Австралия, Обединеното кралство, Нова Зеландия и Канада). Твърди се, че внедрен зловреден код е имал за цел шпионира и прекъсва "комуникационната инфраструктура между САЩ и Азия по време на бъдещи кризи". Пекин нарече доклада на Microsoft "непрофесионален" и "дезинформация"

Атаката е била насочена наред с всичко друго към секторите на комуникациите, производството, комуналните услуги и транспорта. Целта е била да се поддържа достъп до критични системи възможно най-дълго.

Според компанията атаката е извършена от спонсорираната от китайската държава кибергрупа Volt Typhoon и разчита т.нар. техника Living off the Land (LotL - кибератака, при която се използва законен софтуер и функции, налични в целевата системата), каза технологичната компания. Твърди се, че групата е активна от юни 2021 г.

Основната характеристика на атаките е бил "силният акцент" върху максималната потайност, като се е разчитало на споменатата LotL техника за ексфилтриране на данни от локални уеб браузъри и използване на откраднати идентификационни данни. За избягване разкриването си хакерите са целели хармонизиране на действията си с обичайните системни и мрежови дейности на Windows. Според Microsoft това показва, че умишлено е поддържан нисък профил, за да получи достъп до чувствителна информация.

"В допълнение, Volt Typhoon се е опитвала да се слее с нормалната мрежова дейност, насочвайки трафика през компрометирано мрежово оборудване за малки и домашни офиси (SOHO), включително рутери, защитни стени и VPN хардуер", обясняват още от компанията.

Първоначалният вектор за проникване е включвал използване на устройства Fortinet FortiGuard чрез неизвестна слабост от типа "нулев ден". След това чрез получения достъп са откраднати идентификационни данни, за да се проникне в други устройства в мрежата.