UNC3886 kibernetinio šnipinėjimo grupė: tinklo infrastruktūroje slypi grėsmė

UNC3886 atsiradimas sukėlė bangavimą saugumo bendruomenėje. Ši su Kinija susijusi kibernetinio šnipinėjimo grupė buvo nustatyta kaip labai sudėtingas veikėjas, galintis pažeisti vidinę tinklų infrastruktūrą, ypatingą dėmesį skiriant eksploatuoti pasibaigusiems Juniper Networks MX maršrutizatoriams. Jų operacijos rodo pažangų sistemos vidinių elementų supratimą, leidžiantį jiems įsiskverbti, išlikti ir nepastebimai veikti tiksliniuose tinkluose.

Kas yra UNC3886?

UNC3886 yra grėsmių grupė, kuri išgarsėjo išnaudodama tinklo infrastruktūros įrenginių pažeidžiamumus, kuriems dažnai trūksta patikimo saugumo stebėjimo. Pirmą kartą pastebėta 2022 m. rugsėjį, grupė žinoma dėl to, kad puikiai naudoja nulinės dienos pažeidžiamumą Fortinet, Ivanti ir VMware įrenginiuose. Pagrindiniai jų tikslai yra gynybos, technologijų ir telekomunikacijų organizacijos Jungtinėse Valstijose ir Azijoje.

Skirtingai nuo daugelio kibernetinio šnipinėjimo grupių, kurios daugiausia dėmesio skiria tradiciniams galutiniams taškams, UNC3886 sutelkė dėmesį į tinklo krašto įrenginius – maršrutizatorius, ugniasienes ir virtualizacijos platformas. Ši strategija leidžia jiems apeiti įprastas saugumo priemones, išlaikyti ilgalaikę prieigą ir vykdyti šnipinėjimo operacijas su minimalia aptikimo rizika.

Ko nori UNC3886?

Atrodo, kad galutinis UNC3886 tikslas yra nuolatinė prieiga prie svarbiausios infrastruktūros žvalgybos informacijai rinkti. Jų tikslai ir metodai rodo susidomėjimą jautriais ryšiais, konfidencialiais duomenimis ir galbūt net kibernetinio sabotažo galimybėmis.

Viena iš naujausių kampanijų, stebėtų 2024 m. viduryje, apėmė pritaikytų užpakalinių durų implantavimą į Juniper Networks MX maršrutizatorius. Šios užpakalinės durys buvo sukurtos taip, kad užtikrintų ilgalaikę nuotolinę prieigą, palengvintų duomenų išfiltravimą ir išvengtų aptikimo išjungus registravimo mechanizmus. Kai kurie pagrindiniai kenkėjiškų programų komponentai, naudojami UNC3886, yra šie:

• „TinyShell“ pagrindu pagaminti implantai – šios lengvos atvirojo kodo užpakalinės durys leidžia užpuolikams vykdyti komandas, perkelti failus ir palaikyti nuotolinę prieigą be aptikimo.
• Rootkit, tokie kaip „Reptile“ ir „Medusa“ – jie padeda užpuolikams giliau valdyti pažeistas sistemas.
• PITHOOK – įrankis, naudojamas SSH autentifikavimui užgrobti ir kredencialams užfiksuoti.
• GHOOSTOWN – kovos su kriminalistika įrankis, skirtas kenkėjiškos veiklos pėdsakams ištrinti.

Taip pat buvo pastebėta, kad grupė manipuliuoja „Junos OS“ „Verified Exec“ (veriexec) saugos funkcija, leidžiančia paleisti neleistiną kodą tinklo įrenginiuose. Įvesdami kenksmingus krovinius į teisėtų sistemos procesų atmintį, jie užtikrina, kad jų kenkėjiška programa išliktų aktyvi net ir apsaugotuose įrenginiuose.

Kodėl tai yra rimta grėsmė?

UNC3886 naudojama taktika pabrėžia besikeičiantį kibernetinių grėsmių pobūdį. Skirtingai nuo tradicinių išpirkos programų ar finansinių sukčiavimo grupių, šnipinėjimo motyvuoti veikėjai, tokie kaip UNC3886, pirmenybę teikia slaptumui, atkaklumui ir strateginės žvalgybos duomenų rinkimui. Jų veiklos pasekmės yra reikšmingos:

1. Ilgalaikė, nepertraukiama prieiga: pažeisdama maršruto infrastruktūrą, UNC3886 gali išlaikyti prieigą prie tinklų ilgesnį laiką, leisdama jiems nepastebėti perimti ryšius ir siurbti jautrius duomenis.
2. Minimalus aptikimas ir atsakas: tinklo įrenginiuose, ypač nebenaudojamiems maršrutizatoriams, dažnai trūksta integruoto saugos stebėjimo, todėl užpuolikai gali lengviau veikti nepastebėtiems.
3. Ateities trikdžių potencialas: nors pagrindinė grupės veikla sutelkta į šnipinėjimą, gilus jų įsiskverbimas į svarbiausią infrastruktūrą kelia susirūpinimą dėl jų gebėjimo ateityje pradėti trikdančius išpuolius.
4. Rizika pasaulinėms tiekimo grandinėms. Kadangi technologijų ir telekomunikacijų įmonės yra viena iš pagrindinių jų tikslų, UNC3886 veikla gali turėti reikšmingą poveikį pasaulinėms tiekimo grandinėms, taip pat paveikti verslą ir vyriausybes.

Grėsmės mažinimas

Organizacijos, naudojančios Juniper Networks MX maršrutizatorius ir kitą pažeidžiamą tinklo infrastruktūrą, turėtų nedelsdamos imtis veiksmų, kad sumažintų UNC3886 keliamą riziką. Saugumo ekspertai rekomenduoja atlikti šiuos veiksmus:

• Atnaujinkite į naujausią programinę-aparatinę įrangą: Juniper Networks išleido atnaujintas programinės įrangos versijas, skirtas užpuolikų išnaudotoms pažeidžiamoms vietoms pašalinti. Labai svarbu, kad sistemos būtų pataisytos.
• Įdiekite pažangius stebėjimo sprendimus: tradicinio galutinio taško aptikimo gali nepakakti. Organizacijos turėtų naudoti tinklo srauto analizės ir anomalijų aptikimo įrankius, kad nustatytų įtartiną veiklą.
• Patobulinkite prieigos kontrolę: administracinės prieigos prie svarbiausių tinklo įrenginių ribojimas ir kelių veiksnių autentifikavimo užtikrinimas gali sumažinti neteisėtos prieigos riziką.
• Reguliariai atlikite saugos auditą: periodinės tinklo konfigūracijos, žurnalų ir naudotojų veiklos peržiūros gali padėti aptikti anomalijas, kol jos neperauga į didelius pažeidimus.

Kelias priekyje

Tokių grupių kaip UNC3886 atsiradimas rodo kibernetinio karo taktikos pasikeitimą, kai pati tinklo infrastruktūra tampa mūšio lauku. Dėl jų gebėjimo išvengti aptikimo, išnaudoti nekontroliuojamas sistemas ir įtvirtinti giliai įsišaknijusį atkaklumą jie tampa didžiuliu priešininku.

Organizacijoms stiprindamos savo apsaugą nuo tradicinių kibernetinių grėsmių, jos taip pat turi pripažinti, kaip svarbu apsaugoti savo pagrindinę tinklo įrangą. UNC3886 atvejis primena, kad kibernetinis saugumas yra ne tik galutinių taškų apsauga – tai ir paties skaitmeninio ryšio pagrindo apsauga.

Išlikdamos budrios, įgyvendindamos aktyvias saugumo priemones ir investuodamos į patikimą infrastruktūros apsaugą, organizacijos gali sumažinti riziką tapti sudėtingų priešų, tokių kaip UNC3886, aukomis. Šiuolaikiniame amžiuje, kai kibernetinis šnipinėjimas yra augantis geopolitinis įrankis, sąmoningumas ir pasirengimas yra geriausia apsauga nuo nematomų grėsmių, slypinčių interneto šešėliuose.