Инфраструктурата е поддържала международна кибератака, насочена срещу критична инфраструктура, включително електроенергийна компания от Южна Каролина.
Министерството на правосъдието обяви в четвъртък конфискуването по съдебен ред на хакерски инструменти, използвани от китайски злонамерен субект срещу доставчици на критична инфраструктура в САЩ и други страни.
Инструментите, наречени FishHub и Microscan, са били използвани от компания на име Integrity Technology Group (ITG) за експлоатиране на уязвимости в мрежи на критичната инфраструктура в Северна Америка, Югоизточна Азия и Африка.
ФБР и Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) предупредиха в съвместен бюлетин, че ITG е използвала автоматизирано сканиране заедно със зловредните инструменти в кампания, насочена срещу правителствени организации, критично производство, здравеопазване и компании в сферата на информационните технологии. Атакуващата кампания имитира идентифицирани по-рано активности на китайски групи като Flax Typhoon, Ethereal Panda и Red Juliette.
Според документи, внесени във Федералния окръжен съд, ITG е изградила ботнет мрежа, състояща се от компрометирани устройства от Интернет на нещата (IoT), които организацията е заразила с вариант на Mirai. Атакуващите са използвали инструмента Microscan, за да сканират за уязвимости в целевите мрежи, използвайки ботнет мрежата и други методи.
Мишените включват електроенергийна компания от Южна Каролина, мултинационална неправителствена организация, летища в Япония и Полша, както и газови и енергийни компании в Тайван, според съдебните документи. Инструментът FishHub е бил използван за провеждане на целеви фишинг операции (spear-phishing) срещу 20 различни университета в Тайван.
Китайската киберзаплаха
Федералните власти вече бяха неутрализирали ботнет мрежа, свързана със същите извършители през септември 2024 г.
„Това е напомняне, че Китай е взел под прицел широк спектър от икономиката и критичната инфраструктура на САЩ и че тези кампании са непрекъснати и постоянни“, заяви Ани Фикслер, директор на Центъра за кибернетични и технологични иновации към Фондацията за защита на демокрациите.
Microscan е базирано на Python уеб приложение с над 1300 скрипта за тестване за проникване (penetration testing). Инструментът е бил използван за проверка за уязвимости в услуги като Oracle WebLogic, WordPress, Juniper ScreenOS, Jenkins и Apache Struts, съгласно бюлетина на CISA.
Киберпрестъпниците са използвали инструмент за команден ред, наречен office-cli, за да атакуват акаунти в Microsoft Outlook 365 и да крадат имейли.
Екипите по сигурност могат да предприемат няколко мерки за защита срещу тези атаки, според съвместните указания на CISA и ФБР: Изключване на неизползвани услуги и портове, включително отдалечен достъп и автоматична конфигурация, и замяна на стандартните пароли със силни, сложни пароли. В допълнение, да се следи за признаци на неоторизирано използване на легитимни системни инструменти (living-off-the-land) и да се анализират логовете за необичайни IP адреси и портове.