Şüpheli bir Çin hack grubu, kötü amaçlı yazılımları dağıtmak için bir Fortinet sıfır gün kırılganlığından (CVE-2022-41328) yararlanan bir dizi saldırı ile bağlantılıdır.
Güvenlik kusuru, tehdit aktörlerinin Fortinet'in geçen hafta açıkladığı gibi, Fortigate Fortigate güvenlik duvarı cihazlarında yetkisiz kod veya komutlar yürüterek kötü amaçlı yazılım yükleri dağıtmasına izin verdi.
Daha ileri analizler, saldırganların veri açığa çıkması, tehlikeye atılan cihazlara dosya indirme ve yazma veya kötü niyetli ICMP paketleri alırken uzak kabukları açma dahil olmak üzere, kötü amaçlı yazılımları siber-ihale için kullanabileceğini ortaya koydu.
Olaylardan biri, bir müşterinin FortiGate cihazları FIPS ürün yazılımı bütünlüğüne bağlı hatalarla kapatıldığında ve bunları çalışmaz hale getirdiğinde keşfedildi.
FIPS özellikli sistemler için standart bir uygulama olan ağ infiltrasyonunu önlemek için cihazlar önyüklemeyi bıraktı. Güvenlik duvarları, bir CVE-2022-41328 Fortigate Path Traversal Sustayım kullanılarak tehlikeye atıldı ve eşzamanlı kapatılması Fortinet'in bir Fortimanager cihazından kaynaklanan saldırının şüphelenmesine neden oldu.
Şirket, bunların hükümet ağlarına ve büyük kuruluşlara karşı oldukça hedefli saldırılar olduğunu, saldırganların Fortigate cihazlarının işletim sisteminin tersine çevrilmesi de dahil olmak üzere "gelişmiş yetenekleri" sergilediğini söyledi.
Fortinet, "Saldırı, tercih edilen hükümet veya hükümetle ilgili hedeflerin bazı ipuçlarıyla oldukça hedefleniyor." Dedi.
"İstismar, Fortios ve altta yatan donanımın derin bir şekilde anlaşılmasını gerektirir. Özel implantlar, aktörün Fortios'un çeşitli kısımlarını tersine dönüştürme de dahil olmak üzere ileri yeteneklere sahip olduğunu göstermektedir."
Yeni bir maniant raporu, saldırıların 2012 ortalarında meydana geldiğini ve şirketin UNC3886 olarak izlediği bir Çin-Nexus tehdit grubuna bağladığını söylüyor.
Mantian CTO Charles Carmakal, "Çin casusluk operatörlerinin son kurbanları DIB, Hükümet, Telekom ve Teknoloji içeriyor." Dedi.
Diyerek şöyle devam etti: "Bulmaları ne kadar inanılmaz zor oldukları göz önüne alındığında, çoğu kuruluş onları kendi başlarına tanımlayamaz. Çin kampanyalarının çok yıllı müdahaleler olarak sonuçlanması nadir değildir."
Fortinet ile birlikte olayı ortaklaşa araştırırken Mantiant, Fortinet cihazlarını ihlal ettikten sonra, UNC3886, kurbanların ağlarına sürekli erişim için iki yeni kötü amaçlı yazılım suşunu kullandığını buldu: Python tabanlı bir incelme arka kapısı ve ICMP Port-Shocking Castlet Pasif Backdoor .
Tehdit oyuncusu, ağdan yanal olarak hareket etmelerine izin veren dosyalar yazmak için CVE-2022-41328 sıfır gün kusurundan yararlanmadan önce internetten erişilebilen bir ForTimanager cihazına erişti.
Fortimanager ve Fortianalyzer cihazlarında ThinCrust Backdoor aracılığıyla kalıcılık kazandıktan sonra, grup Castletap kullanarak birden fazla Fortigate güvenlik duvarlarını arka kapıdan dolaşmak için FortimAnager komut dosyaları kullandı.
Daha sonra, ödün verilen hipervizörler ve konuk makineleri üzerinde tutulmasını sağlamak için ESXI ve venter makinelerine bağlanan ESXI ve vCenter makinelerine bağlandı ve kötü niyetli faaliyetlerinin tespit edilmemesini sağladı.
İnternetten erişimi kısıtlamak için yapılandırılmış cihazlarda, saldırganlar daha önce Castletap kullanılarak geri yüklenen Fortigate güvenlik duvarlarından döndükten sonra bir trafik kredisi (TableFlip) ve pasif bir arka kapı (sürüngen) kurdu.
Google Cloud'daki Maniant Siber Casusluk Analizi başkanı Ben Read, "Bu cihazların hedeflenmesinin, zor hedeflere erişmeye çalışan casusluk grupları için tekniğe gitmeye devam edeceğine inanıyoruz." Dedi.
Diyerek şöyle devam etti: "Bunun nedeni internetten erişilebilir olmaları, aktörlerin izinsiz girişin zamanlamasını kontrol etmesine izin veriyor ve VPN cihazları ve yönlendiriciler durumunda - büyük miktarda normal gelen bağlantıların karışmasını kolaylaştırıyor."
Yeni Boldmove Linux Kötü Yazılım Fortinet Cihazları Backsoor için Kullanılır
Microsoft Fidye Yazılımı Saldırılarında Windows Zero Day Soleed Düzeltiyor
Fortinet: Govt Networks'e Saldırmak İçin Sıfır Gün Olarak Kullanılan Yeni Fortios Bug
Ürün yazılımı yükseltmelerinden kurtulan kötü amaçlı yazılımlarla enfekte olan Sonicwall cihazları
Iron Tiger Hackers, özel kötü amaçlı yazılımlarının Linux sürümünü oluşturdu
Kaynak: Bleeping Computer