Bir Çin siber-ihale grubu geçen yıl Hollanda Savunma Bakanlığı'nı ihlal etti ve Hollanda Askeri İstihbarat ve Güvenlik Servisi'ne (MIVD) göre kötü amaçlı yazılımlar kullandı.
Bununla birlikte, saldırıya uğrayan sistemlerin geri kapısına rağmen, ağ segmentasyonu nedeniyle ihlalden kaynaklanan hasar sınırlıydı.
Ortak bir raporda MIVD ve Genel İstihbarat ve Güvenlik Servisi (AIVD), "Mağdur ağı daha geniş MOD ağlarından bölümlere ayrıldığı için sınırlıydı." Dedi.
Diyerek şöyle devam etti: "Mağdur ağının 50'den az kullanıcısı vardı. Amacı sınıflandırılmamış projelerin araştırma ve geliştirme (Ar-Ge) ve iki üçüncü taraf araştırma enstitüsü ile işbirliği idi. Bu kuruluşlar olaydan haberdar edildi."
Takip soruşturması sırasında, ihlal edilen ağda Fortigate Network Güvenlik Aletlerini enfekte etmek için tasarlanmış bir uzaktan erişim Truva atı (sıçan) olan daha önce bilinmeyen bir kötü amaçlı yazılım suşu da keşfedildi.
İki Hollandalı ajans, "Özellikle, coathanger implantı kalıcı, her yeniden başlatmadan sonra sistemi yeniden başlatmaktan sorumlu bir yedekleme enjekte ederek iyileşiyor. Ayrıca, enfeksiyon, ürün yazılımı yükseltmelerinde hayatta kalıyor."
Diyerek şöyle devam etti: "Bu nedenle, en son yama uygulanmadan önce tehlikeye girmişlerse, tamamen yamalı Fortigate cihazları bile enfekte olabilir."
Kötü amaçlı yazılım gizli ve ısrarla çalışır, varlığını ortaya çıkarmaktan kaçınmak için sistem çağrılarını ele geçirerek kendini gizler. Ayrıca sistem yeniden başlatmaları ve ürün yazılımı yükseltmeleri yoluyla devam eder.
Saldırılar belirli bir tehdit grubuna atfedilmese de, MIVD bu olayı Çin devlet destekli bir hack grubuyla yüksek güvenle ilişkilendirdi ve bu kötü niyetli faaliyetin Hollanda'yı ve müttefiklerini hedefleyen daha geniş bir Çin siyasi casusluğunun bir parçası olduğunu da sözlerine ekledi. .
Çinli bilgisayar korsanları, CVE-2022-42475 Fortios SSL-VPN güvenlik açığından yararlanarak tehlikeye atılan savunmasız fortigate güvenlik duvarlarına siber casusluk amacıyla coathanger kötü amaçlı yazılımları konuşlandırdı.
CVE-2022-42475, Fortinet'in Ocak 2023'te ifşa ettiği gibi, hükümet kuruluşlarını ve ilgili hedefleri hedefleyen saldırılarda sıfır gün olarak da kullanıldı.
Bu saldırılar, aynı zamanda, ürün yazılımı yükseltmelerinden kurtulmak için tasarlanmış siber-ihale kötü amaçlı yazılımlarla eşleştirilmemiş Sonicwall Güvenli Mobil Erişim (SMA) cihazlarını hedefleyen başka bir Çin hackleme kampanyasıyla birçok benzerliği paylaşıyor.
Kuruluşlardan, benzer saldırı denemelerini önlemek için kullanılabilir hale gelir gelmez, satıcılardan hemen satıcılardan güvenlik yamaları uygulamaları istenir.
Savunma Bakanı Kajsa Ollongren, "İlk kez, MIVD, Çinli bilgisayar korsanlarının çalışma yöntemleri hakkında kamuoyuna teknik bir rapor yapmayı seçti. Çin'in bu tür casusluk faaliyetlerini atfetmek önemlidir." Dedi.
"Bu şekilde, bu tür siber casusluğa karşı uluslararası esnekliği artırıyoruz."
Microsoft: Bilgisayar korsanları yeni yanlış yazılımlarla savunma firmalarını hedeflemek
FBI, enfekte yönlendiricilerden kötü amaçlı yazılımları silerek Çin botnetini bozar
Gizli KV-Botnet Kaçakları Soho Yönlendiricileri ve VPN Cihazları
Blackwood Hacker'ları Kaçırılmış WPS Office güncellemesi kötü amaçlı yazılım yüklemek için
Çinli hackerlar iki yıl boyunca sıfır gün olarak vmware hatasını sömürüyor
Kaynak: Bleeping Computer