A DEEPDATA rosszindulatú program a kijavítatlan Fortinet hibára támaszkodik, és a VPN hitelesítő adatait a kiberkémkedésnek teszi ki

A kiberbiztonsági kutatók jelentős új fenyegetést tártak fel, amely a Fortinet FortiClient VPN-jét célozza, kiemelve a DEEPDATA néven ismert rosszindulatú programok riasztó képességeit. Ez a kifinomult támadás, amelyet a BrazenBamboo fenyegetettségi csoportnak tulajdonítanak, a nulladik napi sebezhetőséget kihasználva érzékeny VPN-hitelesítő adatokat lop el, így a vállalkozások és magánszemélyek fokozottan ki vannak téve a kémkedés és az adatlopás kockázatának.

Hogyan használja ki a DEEPDATA a Fortinet sebezhetőségét?

A Volexity kiberbiztonsági cég által nyilvánosságra hozott DEEPDATA a FortiClient for Windows egy korábban ismeretlen sebezhetőségét használja fel, hogy a VPN hitelesítő adatait közvetlenül a memóriából gyűjtse be. Ez a hiba, amelyet 2024 júliusában jelentettek a Fortinetnek, a jelen írás pillanatáig kijavítatlan maradt. A címezetlen sebezhetőség lehetővé teszi a támadók számára, hogy kihasználják a Fortinet népszerű VPN-szoftverét, hogy illetéktelenül hozzáférjenek a vállalati hálózatokhoz, ami további behatolást és adatlopást tesz lehetővé.

A DEEPDATA középpontjában egy dinamikus kapcsolati könyvtár (DLL) betöltő, a data.dll áll, amely 12 rosszindulatú beépülő modult dekódol és aktivál a frame.dll nevű orchestrator modulon keresztül. Az egyik beépülő modul, amely kifejezetten a FortiClient-et célozza meg, kivonja a VPN hitelesítő adatait, így a támadóknak rejtett támaszt biztosít a veszélyeztetett környezetekben.

DEEPDATA: A kémkedés új szintje

A DEEPDATA képességei egy szélesebb eszköztár részét képezik, amelyet a BrazenBamboo fejlesztett ki, egy olyan csoport, amely szorosan kapcsolódik a Kínával kapcsolatban álló APT41 fenyegetés szereplőjéhez. A rosszindulatú programcsomag kiterjeszti a korábbi keretrendszereket, például a LightSpy-t, egy sokoldalú, macOS-t, iOS-t és Windows-t célzó kémprogram-platformot.

A DEEPDATA és a kapcsolódó eszközök főbb jellemzői a következők :

• Hitelesítési adatok ellopása : Hitelesítési adatokat rögzít olyan népszerű kommunikációs alkalmazásokból, mint a WhatsApp, a Telegram, a Signal és a KeePass.
• Adatok kiszűrése : Összegyűjti a webböngésző adatait, az alkalmazások jelszavait, a Wi-Fi hotspot adatait és a telepített szoftverekkel kapcsolatos információkat.
• Állandó felügyelet : Lopakodó, hosszú távú hozzáférést biztosít a céleszközökhöz az átfogó kémkedés érdekében.

Ez a többfunkciós rosszindulatú program kiemeli a kommunikációs platformokra való aprólékos összpontosítást, a támadók pedig a lopakodást és a kitartást helyezik előtérbe, hogy maximalizálják az információgyűjtési lehetőségeket.

DEEPPOST és LightSpy: Kiegészítő eszközök haladó támadásokhoz

A BrazenBamboo kiberarzenálja nem áll meg a DEEPDATA-nál. DEEPPOST eszköze megkönnyíti az adatok kiszűrését, lehetővé téve a támadók számára, hogy ellopott fájlokat távoli szerverekre vigyenek át. Eközben a 2022 óta működő LightSpy keretrendszer fejlett modularitást mutat, és speciális bővítményeket alkalmaz:

• Webkamerás felvételek rögzítése.
• Parancsok végrehajtása távoli parancsértelmezőn keresztül.
• Hang, billentyűleütések és böngészőadatok gyűjtése.
• Képernyőképek rögzítése és a telepített szoftver leltározása.

A LightSpy egyedi telepítőn keresztül telepített Windows-változatokhoz készült architektúrája azt sugallja, hogy fejlesztése része egy szisztematikus és jól finanszírozott erőfeszítésnek, amellyel személyre szabott hackereszközöket készítenek.

Következmények a kiberbiztonságra és a kémkedésre

A DEEPDATA és a LightSpy közötti kód és infrastruktúra átfedése arra utal, hogy ezek a rosszindulatú programcsaládok olyan magánvállalkozásokból származhatnak, amelyek szerződést kötöttek a nemzetállami szereplők számára készült eszközök fejlesztésével. Az olyan vállalatok, mint a Chengdu 404 és az I-Soon, kiváló példái azoknak a szervezeteknek, amelyek kormányzati használatra sértő kibereszközök kidolgozásában vesznek részt.

A DEEPDATA felfedezése rávilágít a többplatformos képességekre tervezett moduláris kártevő-keretrendszerek növekvő tendenciájára. Ez a megközelítés lehetővé teszi az olyan fenyegetés szereplői számára, mint a BrazenBamboo, hogy eszközeiket a különféle operációs rendszerekhez és környezetekhez igazítsák, biztosítva a működés hosszú élettartamát és hatékonyságát.

Sürgős lépések a védelem érdekében

Tekintettel a DEEPDATA által jelentett folyamatos kockázatra és a javítatlan Fortinet sebezhetőségre, elengedhetetlen, hogy a szervezetek és a felhasználók azonnali lépéseket tegyenek a lehetséges károk enyhítésére:

1. Javítások figyelése : Legyen naprakész a Fortinet biztonsági javításaival kapcsolatban, és alkalmazza azokat, amint elérhetővé válnak.
2. A hálózatfigyelés javítása : Robusztus végpont-észlelési és válaszadási (EDR) megoldások alkalmazása a szokatlan tevékenységek azonosítására.
3. Hitelesítési adatok ellenőrzése : Rendszeresen módosítsa a VPN hitelesítő adatait, és figyelje a jogosulatlan hozzáférési kísérleteket.
4. Hálózatok szegmentálása : Korlátozza a hozzáférést a kritikus erőforrásokhoz, hogy minimalizálja a feltört hitelesítő adatok hatását.

A DEEPDATA rosszindulatú program kiemeli a széles körben használt szoftverek feloldatlan sebezhetőségeinek nagy tétjét. Miközben a fenyegetések szereplői, mint például a BrazenBamboo, továbbra is finomítják eszközeiket, a szervezeteknek ébernek kell maradniuk, többrétegű védelmet és proaktív sebezhetőség-kezelést alkalmazva a fejlett kiberfenyegetésekkel szemben.

Az óra ketyeg a Fortinet hibájának megoldásán – a vállalkozásoknak és magánszemélyeknek gyorsan kell cselekedniük érzékeny adataik és digitális eszközeik védelme érdekében.