Ερευνητές ασφαλείας έχουν ανακαλύψει τέσσερις νέες οικογένειες κακόβουλων προγραμμάτων, που έχουν σχεδιαστεί για να στοχεύουν συσκευές Pulse Secure VPN.
Δείτε επίσης: Malware επιτρέπει σε χάκερς να τραβήξουν screenshots στο Mac σας!
Οι υπηρεσίες VPN της Pulse Secure, χρησιμοποιούνται από εταιρείες παγκοσμίως για την ασφαλή πρόσβαση σε επιχειρηματικά συστήματα. Στις 20 Απριλίου, η ομάδα διαδικτυακής εγκληματολογίας του FireEye Mandiant, αποκάλυψε επιθέσεις εναντίον των υπηρεσιών άμυνας, της κυβέρνησης και των χρηματοοικονομικών οργανισμών που χρησιμοποιούν το λογισμικό.
Η κύρια ευπάθεια που εκμεταλλεύονται τα malware, είναι η CVE-2021-22893, το οποίο έχει βαθμολογηθεί με CVSS 10, καθώς επιτρέπει σε μη εξουσιοδοτημένους εισβολείς να πραγματοποιούν απομακρυσμένη εκτέλεση αυθαίρετου κώδικα (RCE).
Άλλες ευπάθειες ασφαλείας που συνδέονται με επιθέσεις είναι οι CVE-2019-11510, CVE-2020-8260 και CVE-2020-8243, που μπορούν να χρησιμοποιηθούν για την επίτευξη resistance σε μια ευάλωτη συσκευή και σε περαιτέρω παραβιασμένες συσκευές.
Οι Mandiant υποπτεύονται ότι κακόβουλοι παράγοντες από την Κίνα, εκμεταλλεύονται τα τρωτά σημεία και τώρα έχουν εντοπιστεί εισβολές στην άμυνα, την κυβέρνηση, την τεχνολογία, τις μεταφορές και τις οικονομικές οντότητες στις Ηνωμένες Πολιτείες και την Ευρώπη.
Σύμφωνα με τους ερευνητές, οι UNC2630 και UNC2717 είναι οι κύριες ομάδες απειλής (APT) που εμπλέκονται σε αυτές τις επιθέσεις και οι δύο «υποστηρίζουν βασικές προτεραιότητες της κινεζικής κυβέρνησης».
Δείτε επίσης: APT χάκερς παραβίασαν δημοτική κυβέρνηση των ΗΠΑ μέσω unpatched Fortinet VPN
Στην αρχική αναφορά, βρέθηκαν 12 ξεχωριστές οικογένειες και εργαλεία κακόβουλου λογισμικού.
Αυτός ο αριθμός έχει πλέον φτάσει τις 16 με την ανακάλυψη τεσσάρων νέων οικογενειών κακόβουλων προγραμμάτων που συνδέονται με την UNC2630:
Bloodmine: Αυτό το βοηθητικό πρόγραμμα αναλύει αρχεία καταγραφής PSC και εξάγει πληροφορίες σχετικά με συνδέσεις, αναγνωριστικά μηνυμάτων και αιτήματα ιστού.
Bloodbank: Αυτό το κακόβουλο λογισμικό έχει σχεδιαστεί για κλοπή διαπιστευτηρίων και αναλύει αρχεία που περιέχουν κατακερματισμούς κωδικού πρόσβασης ή διαπιστευτήρια απλού κειμένου.
Cleanpulse: Αποτελεί ένα εργαλείο επιδιόρθωσης μνήμης για την αποτροπή συγκεκριμένων συμβάντων καταγραφής.
Rapidpulse: Πρόκειται για ένα webshell που τροποποιεί ένα νόμιμο Pulse Secure αρχείο και δεν είναι μόνο ικανό για ανάγνωση αυθαίρετου αρχείου, αλλά μπορεί επίσης να λειτουργήσει ως κρυπτογραφημένο πρόγραμμα λήψης αρχείων.
Σε ορισμένες περιπτώσεις, οι κακόβουλοι παράγοντες αφαίρεσαν κάποια backdoor, αλλά άφησαν persistence patchers ως μέσο για να ανακτήσουν την πρόσβαση στο μέλλον.
Δείτε επίσης: Κινέζοι χάκερς εκμεταλλεύτηκαν Pulse Secure VPN zero-day για να παραβιάσουν εργολάβους άμυνας των ΗΠΑ
Η μητρική εταιρεία Pulse Secure Ivanti κυκλοφόρησε ενημερωμένες εκδόσεις κώδικα και ένα εργαλείο ώστε οι χρήστες να ελέγχουν για κινδύνους. Συνιστάται η εφαρμογή των διορθώσεων το συντομότερο δυνατό.
Ο Οργανισμός Ασφάλειας Κυβερνοασφάλειας και Υποδομών των ΗΠΑ (CISA) εξέδωσε για πρώτη φορά ειδοποίηση σχετικά με την εκμετάλλευση των προϊόντων Pulse Connect Secure στις 21 Απριλίου και έκτοτε ενημέρωσε τις οδηγίες του.
