Proofpoint: Китайски хакерски групи надпреварват се да експлоатират zero-day уязвимости

Множество китайски хакерски групи се включват в една и съща zero-day верига

Нов доклад на компанията за сигурност Proofpoint идентифицира множество заплахи, свързани с Китай, които независимо една от друга експлоатират една и съща верига от zero-day уязвимости, за да проникнат в организации. Според Proofpoint експлоатацията е започнала бързо след откриването на уязвимостите, а компанията твърди, че активността продължава и се очаква да се разшири, тъй като все повече групи възприемат техниката.

Онова, което прави тази кампания забележителна, не е само скоростта на експлоатация. А фактът, че няколко отделни, свързани с държавата хакерски клъстера изглежда са се насочили към един и същ набор от уязвимости по едно и също време. Подобно паралелно възприемане подсказва, че веригата за експлоатация или се споделя в рамките на китайската екосистема за кибершпионаж, или е достатъчно проста, че множество групи са я открили независимо. Във всеки случай това сочи към добре обезпечени с ресурси и координирани участници, които действат бързо, щом се появи използваема верига от уязвимости.

Какво всъщност означава „верига от zero-day уязвимости"

За читателите, които не са дълбоко запознати със сигурностния жаргон: zero-day е софтуерна уязвимост, която е неизвестна на доставчика по времето, когато бъде открита и експлоатирана, което означава, че все още няма налична кръпка. „Верига" от zero-day уязвимости се отнася до това нападателите да свържат множество уязвимости заедно, използвайки една уязвимост, за да получат първоначален достъп, друга — за повишаване на привилегии, и така нататък, докато постигнат пълен контрол над целевата система.

Това е важно за обикновените потребители, защото тези вериги често започват с нещо толкова обикновено като браузър, имейл клиент или широко използван корпоративен софтуер. Дори да не сте чували за конкретния доставчик или продукт, участващи в случая, основните софтуерни компоненти често се срещат както в потребителски, така и в бизнес инструменти. Когато такава верига от zero-day уязвимости се експлоатира активно, за доставчиците започва да тече времето за пускане на кръпки, а за организациите — да ги приложат, преди още нападатели да се включат.

Констатациите на Proofpoint се вписват в по-широк и все по-видим модел на китайски държавно свързани кибероперации. Изследователи са документирали отделно как китайски хакери удвояват обема на атаките си с помощта на DeepSeek AI, за да ускорят разузнаването и разработването на зловреден софтуер, докато други репортажи за кампании за шпионаж, спонсорирани от китайската държава, насочени срещу журналисти и активисти показват, че тези групи не се ограничават до корпоративни или правителствени цели. Разследващи екипи като Intrusion Truth дори са работили за разкриването на нови китайски киберподрядчици, които подкрепят тази екосистема зад кулисите, илюстрирайки колко инфраструктура и човешки ресурси стоят зад кампании като тази, която Proofpoint току-що сигнализира.

Кои са мишените и защо кампанията се разширява

Докладът на Proofpoint описва мишените като „различни организации", без да стеснява кампанията до конкретна индустрия или регион. Тази широта е в съответствие с начина, по който обикновено действат свързаните с Китай шпионски групи: те са склонни да дават приоритет на достъпа пред прецизността, като се насочват към всяка организация, която притежава ценна разузнавателна информация, интелектуална собственост или стратегически данни — било то държавна агенция, изследователска институция или частна компания с полезни връзки във веригата за доставки.

Фактът, че Proofpoint очаква активността да се разшири, е най-важната оперативна подробност тук. Веригите от zero-day уязвимости рядко остават ексклузивни за дълго. След като една група демонстрира, че дадена верига за експлоатация работи, други обикновено се стремят да я реконструират или независимо да преоткрият същата техника, особено когато основните уязвимости остават некръпнати. Това вероятно е част от причината множество групи да я използват едновременно, вместо един участник да действа сам.

Какво означава това за вас

Повечето читатели на тази статия не управляват директно корпоративните системи, които тези групи атакуват, но вълновите ефекти все пак имат значение. Веригите от zero-day уязвимости, експлоатирани срещу организации, често разчитат на същите софтуерни стекове, браузъри, операционни системи и инструменти за продуктивност, които се срещат и на лични устройства. Когато доставчиците кръпят уязвимостите, участващи в такава верига, тези актуализации обикновено се прилагат широко, не само за корпоративни внедрявания.

Ако работите в организация, особено в правителството, научните изследвания, технологиите или който и да е сектор, който обработва чувствителни данни, това е добър момент да потвърдите, че вашият ИТ или екип за сигурност следи отблизо съветите на доставчиците и прилага кръпки веднага щом бъдат пуснати. Физическите лица трябва да приемат това като напомняне да поддържат софтуера актуализиран автоматично, където е възможно, тъй като прозорците за експлоатация на zero-day уязвимости се затварят най-бързо за системи, които се кръпят своевременно.

Използването на VPN няма да спре верига за експлоатация на zero-day уязвимости самостоятелно, тъй като тези атаки обикновено са насочени към софтуерни уязвимости, а не към мрежовия трафик. Но поддържането на добра обща хигиена за сигурност, актуализирането на софтуера, използването на многофакторна автентикация и ограничаването на ненужното излагане на вътрешни системи към интернет остава най-ефективната защита срещу опортюнистична експлоатация, след като техника като тази стане публична.

Изпреварване на разширяваща се кампания

Този вид бърза експлоатация от множество групи е знак колко зрели и добре координирани са станали свързаните с държавата хакерски операции. Докато Proofpoint продължава да проследява кампанията, очаквайте да се появят повече подробности за конкретните участващи уязвимости и кои доставчици са засегнати. Докато кръпките не бъдат потвърдени и широко приложени, организациите трябва да приемат, че всички relevantни системи са изложени, и да действат съответно, тъй като Proofpoint ясно е заявила, че тази активност далеч не е приключила.

Засега практическите изводи са ясни: кръпете своевременно, следете съветите за сигурност на доставчиците и третирайте докладите за активна експлоатация на zero-day уязвимости като сигнал да преразгледате собствената си експозиция, а не като причина за паника. Кампаниите, водени от шпионаж като тази, се движат бързо, но организациите и физическите лица, които са в крак с актуализациите, значително намаляват риска си.