Ερευνητές ασφαλείας της Cisco Talos ανακάλυψαν μια νέα hacking ομάδα με το όνομα UAT-5918, που επιτίθεται σε κρίσιμες υποδομές στην Ταϊβάν τουλάχιστον από το 2023.
Η Cisco Talos λέει ότι η UAT-5918 προσπαθεί να διατηρήσει μακροπρόθεσμη πρόσβαση στα παραβιασμένα συστήματα για κλοπή πληροφοριών και credentials. Οι hackers χρησιμοποιούν έναν συνδυασμό web shells και εργαλείων ανοιχτού κώδικα για τη διεξαγωγή των κακόβουλων δραστηριοτήτων και την εδραίωση persistence στα δίκτυα των θυμάτων.
Οι hackers στοχεύουν κυρίως εταιρείες στους εξής κλάδους: τεχνολογία πληροφοριών, τηλεπικοινωνίες, ακαδημαϊκός χώρος και υγειονομική περίθαλψη.
Δείτε επίσης: Κυβερνοκατασκοπεία: Οι hackers Aquatic Panda στόχευσαν 7 οργανισμούς
Οι ερευνητές πιστεύουν ότι πρόκειται για μια ομάδα APT, που επιδιώκει να δημιουργήσει μακροπρόθεσμη πρόσβαση σε περιβάλλοντα θυμάτων. Έχουν, επίσης, παρατηρηθεί κοινά στοιχεία με πολλές κινεζικές ομάδες, που παρακολουθούνται ως Volt Typhoon, Flax Typhoon, Tropic Trooper, Earth Estries και Dalbit.
Πώς λειτουργούν οι επιθέσεις;
Οι επιθέσεις περιλαμβάνουν την εκμετάλλευση ευπαθειών N-day σε μη ενημερωμένους web και application servers, που εκτίθενται στο διαδίκτυο. Χάρη σε αυτές τις ευπάθειες, οι hackers αποκτούν πρόσβαση στο σύστημα του θύματος, και στη συνέχεια, εγκαθιστούν εργαλεία ανοιχτού κώδικα για τη διεξαγωγή reconnaissance, τη συλλογή πληροφοριών συστήματος και το lateral movement.
Έπειτα, οι hackers UAT-5918 χρησιμοποιούν τα Fast Reverse Proxy (FRP) και Neo-reGeorge για τη δημιουργία reverse proxy tunnels για πρόσβαση σε παραβιασμένα τελικά σημεία μέσω απομακρυσμένων κεντρικών υπολογιστών (ελεγχόμενων από τους εισβολείς).
Δείτε επίσης: Οι χάκερ εκμεταλλεύονται ευπάθεια RCE του Apache Tomcat
Οι ερευνητές ασφαλείας χρησιμοποίησαν, επίσης, εργαλεία όπως τα Mimikatz, LaZagne, BrowserDataLite (ένα browser-based extractor για τη συλλογή credentials), Chopper web shell, Crowdoor και SparrowDoor.
Το BrowserDataLite, συγκεκριμένα, κλέβει πληροφορίες σύνδεσης, cookies και ιστορικό περιήγησης από browsers. Ο παράγοντας απειλής εμπλέκεται επίσης σε συστηματική κλοπή δεδομένων ελέγχοντας τοπικά και shared drives για να βρει δεδομένα που τον ενδιαφέρουν.
Δείτε επίσης: Χάκερ εκμεταλλεύονται Checkpoint driver σε επιθέσεις BYOVD
Το γεγονός ότι οι hackers UAT-5918 επικεντρώνονται στη μακροπρόθεσμη πρόσβαση και τη συλλογή διαπιστευτηρίων δείχνει ότι ο κύριος στόχος τους είναι η κατασκοπεία και η κλοπή δεδομένων, κάτι που θα μπορούσε να έχει σοβαρές συνέπειες για τους οργανισμούς της περιοχής. Επιπλέον, η χρήση εργαλείων ανοιχτού κώδικα και web shells καθιστά την ανίχνευση πιο δύσκολη.
Αν η επίθεση αυτή συνεχιστεί ή επεκταθεί, θα μπορούσε να επηρεάσει κυβερνητικούς φορείς, ιδιωτικές εταιρείες και δίκτυα υποδομής, κάτι που θα ενίσχυε την ανάγκη για αυξημένη επιτήρηση και βελτιωμένα μέτρα ασφαλείας. Η Ταϊβάν πρέπει να ενισχύσει την άμυνά της απέναντι σε τέτοιες απειλές, ενσωματώνοντας πιο προηγμένες τεχνολογίες ανίχνευσης και άμεσης απόκρισης.
πηγή: thehackernews.com
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
