DEEPDATA kenkėjiška programa panaudoja nepataisytą „Fortinet“ trūkumą, atskleidžiantį VPN kredencialus kibernetiniam šnipinėjimui

Kibernetinio saugumo tyrėjai atskleidė didelę naują grėsmę, nukreiptą į Fortinet FortiClient VPN, pabrėždami nerimą keliančias kenkėjiškų programų, žinomų kaip DEEPDATA, galimybes. Ši sudėtinga ataka, priskiriama „BrazenBamboo“ grėsmių grupei, išnaudoja nulinės dienos pažeidžiamumą, kad pavogtų slaptus VPN kredencialus, todėl įmonėms ir asmenims kyla didesnė šnipinėjimo ir duomenų vagystės rizika.

Kaip DEEPDATA išnaudoja Fortinet pažeidžiamumą

Kibernetinio saugumo įmonės „Volexity“ atskleista DEEPDATA panaudoja anksčiau nežinomą „FortiClient for Windows“ pažeidžiamumą, kad VPN kredencialai būtų paimti tiesiai iš atminties. Šis trūkumas, apie kurį pranešta Fortinet 2024 m. liepos mėn., iki šio rašymo liko nepataisytas. Neišspręstas pažeidžiamumas leidžia užpuolikams išnaudoti populiariąją „Fortinet“ VPN programinę įrangą, kad gautų neteisėtą prieigą prie įmonių tinklų, o tai gali sudaryti sąlygas tolesniam įsiskverbimui ir duomenų vagystėms.

DEEPDATA esmė yra dinaminės nuorodos bibliotekos (DLL) įkroviklis data.dll, kuris iššifruoja ir suaktyvina 12 kenkėjiškų įskiepių per orkestro modulį, vadinamą frame.dll. Vienas papildinys, konkrečiai skirtas „FortiClient“, ištraukia VPN kredencialus, suteikdamas užpuolikams slaptą įsitvirtinimą pažeistoje aplinkoje.

DEEPDATA: naujas šnipinėjimo lygis

DEEPDATA galimybės yra dalis platesnio įrankių rinkinio, kurį sukūrė BrazenBamboo – grupė, glaudžiai susijusi su Kinija susijusiu APT41 grėsmės veikėju. Kenkėjiškų programų rinkinys išplečiamas naudojant ankstesnes sistemas, tokias kaip „LightSpy“, universali šnipinėjimo programų platforma, skirta „MacOS“, „iOS“ ir „Windows“.

Pagrindinės DEEPDATA ir su juo susijusių įrankių savybės :

• Kredencialų vagystė : fiksuoja kredencialus iš populiarių komunikacijos programų, tokių kaip WhatsApp, Telegram, Signal ir KeePass.
• Duomenų išfiltravimas : renka žiniatinklio naršyklės informaciją, programų slaptažodžius, „Wi-Fi“ viešosios interneto prieigos taško duomenis ir informaciją apie įdiegtą programinę įrangą.
• Nuolatinis stebėjimas : palaiko slaptą, ilgalaikę prieigą prie tikslinių įrenginių visapusiškam šnipinėjimui.

Ši daugiafunkcė kenkėjiška programa pabrėžia kruopštų dėmesį komunikacijos platformoms, o užpuolikai teikia pirmenybę slaptumui ir atkaklumui, kad padidintų žvalgybos rinkimo galimybes.

DEEPPOST ir LightSpy: papildomi pažangių atakų įrankiai

„BrazenBamboo“ kibernetinis arsenalas nesibaigia DEEPDATA. Jo DEEPPOST įrankis palengvina duomenų išfiltravimą, leidžiantį užpuolikams perkelti pavogtus failus į nuotolinius serverius. Tuo tarpu „LightSpy“ sistema, veikianti nuo 2022 m., demonstruoja pažangų moduliškumą ir naudoja specializuotus papildinius, kad:

• Įrašykite vaizdo kameros medžiagą.
• Vykdykite komandas per nuotolinį apvalkalą.
• Surinkite garsą, klavišų paspaudimus ir naršyklės duomenis.
• Užfiksuokite ekrano vaizdus ir inventorių, įdiegtą programinę įrangą.

„LightSpy“ architektūra, skirta „Windows“ variantams, įdiegta naudojant pasirinktinį diegimo programą, rodo, kad jos kūrimas yra sistemingų ir gerai finansuojamų pastangų sukurti pagal užsakymą sukurtus įsilaužimo įrankius dalis.

Poveikis kibernetiniam saugumui ir šnipinėjimui

DEEPDATA ir „LightSpy“ kodo ir infrastruktūros sutapimas rodo, kad šios kenkėjiškų programų šeimos gali kilti iš privačių įmonių, sudariusių sutartis kurti įrankius nacionalinių valstybių veikėjams. Tokios įmonės kaip „Chengdu 404“ ir „I-Soon“ yra puikūs organizacijų, dalyvaujančių kuriant įžeidžiančius kibernetinius įrankius vyriausybės reikmėms, pavyzdžiai.

DEEPDATA atradimas išryškina augančią modulinių kenkėjiškų programų sistemų, skirtų kelių platformų galimybėms, tendenciją. Šis metodas leidžia grėsmės subjektams, tokiems kaip „BrazenBamboo“, pritaikyti savo įrankius įvairioms operacinėms sistemoms ir aplinkoms, užtikrinant veiklos ilgaamžiškumą ir efektyvumą.

Skubūs apsaugos žingsniai

Atsižvelgiant į nuolatinę DEEPDATA keliamą riziką ir nepataisytą Fortinet pažeidžiamumą, organizacijoms ir vartotojams labai svarbu nedelsiant imtis veiksmų, kad sumažintų galimą žalą:

1. Stebėkite pataisas : Sekite naujienas apie saugos pataisas iš Fortinet ir pritaikykite jas, kai tik jos pasirodys.
2. Patobulinkite tinklo stebėjimą : įgyvendinkite patikimus galutinio taško aptikimo ir atsako (EDR) sprendimus, kad nustatytumėte neįprastą veiklą.
3. Atlikite kredencialų auditą : reguliariai keiskite VPN kredencialus ir stebėkite, ar nėra neteisėtos prieigos bandymų.
4. Tinklų segmentavimas : apribokite prieigą prie svarbiausių išteklių, kad sumažintumėte pažeistų kredencialų poveikį.

Kenkėjiška programa DEEPDATA pabrėžia didelį neišspręstų plačiai naudojamos programinės įrangos pažeidžiamumų pavojų. Kadangi grėsmės veikėjai, tokie kaip „BrazenBamboo“, toliau tobulina savo įrankius, organizacijos turi išlikti budrios, naudodamos daugiasluoksnes gynybos priemones ir aktyvų pažeidžiamumo valdymą, kad atremtų pažangias kibernetines grėsmes.

Laikrodis tiksi sprendžiant Fortinet trūkumą – įmonės ir asmenys turi veikti greitai, kad apsaugotų savo neskelbtinus duomenis ir skaitmeninį turtą.