Mi az az UTA0565 és hogyan működik a CLEANGULP malware?

Egy kínai államilag támogatott fenyegetési szereplőt, amelyet UTA0565 néven követnek nyomon, azon kaptak, hogy nulla napos sebezhetőségeket láncolva tör be kormányzati hálózatokba és telepít egy CLEANGULP nevű malware-t. A Volexity biztonsági kutatói azután azonosították a kampányt, hogy észrevették, a csoport a Google Chrome és a Microsoft Windows sebezhetőségeit kombinálja, ami lehetővé teszi a támadók számára, hogy egy böngészős exploitból közvetlenül teljes rendszerkompromittálásba jussanak anélkül, hogy az áldozatnak le kellene töltenie vagy meg kellene nyitnia egy gyanús fájlt.

A támadási lánc állítólag hamis vagy kompromittált weboldalakra támaszkodik, amelyek ráveszik a célpontokat, hogy meglátogassanak egy támadók által ellenőrzött oldalt. Amint a Chrome egy sebezhető verziója betölti az oldalt, az exploitlánc aktiválódik, a Windows sebezhetőségén keresztül jogosultságot emel, és csendesen telepíti a CLEANGULP-ot. Onnantól a malware támpontot ad az UTA0565 számára kémkedéshez, adatlopáshoz vagy további laterális mozgáshoz a célpont hálózatán belül.

Ami figyelemreméltóvá teszi ezt a kampányt, az egy valódi nulla napos lánc használata: olyan sebezhetőségek, amelyek a kihasználás idején ismeretlenek voltak a Chrome és a Windows fejlesztői előtt, ami azt jelenti, hogy a támadások kezdetekor nem létezett javítás. A lopakodás és gyorsaság ez a kombinációja pontosan az oka annak, hogy a nulla napos kihasználás továbbra is az egyik legnehezebben elhárítható fenyegetés a védelmi szakemberek számára, mielőtt a kár bekövetkezik.

Ki van veszélyben: eszközök és hálózatok a hatósugárban

A kampányról szóló jelentések szerint a megerősített célpontok eddig kormányzati szervek, elsősorban Ázsiában. De a széles körben használt szoftverek, mint a Chrome és a Windows köré épített nulla napos exploitláncok ritkán maradnak sokáig egyetlen régióra vagy ágazatra korlátozva. Minden olyan szervezet vagy egyén, amely e platformok javítatlan verzióit futtatja, technikailag ki van téve ugyanannak az exploitkészletnek, még akkor is, ha nem ők voltak az eredeti szándékolt célpont.

Ez különösen aggasztó a kisebb kormányzati ügynökségek, vállalkozók és civil szervezetek számára, amelyek hiányolhatják az erőforrásokat a nemzetállami szintű fenyegetések megfigyeléséhez, de mégis érzékeny adatokat kezelnek, ami vonzó másodlagos célponttá teszi őket. A mindennapi felhasználókat kevésbé valószínű, hogy közvetlenül megcélozná egy olyan kémkedésre összpontosító csoport, mint az UTA0565, de még mindig kereszttűzbe kerülhetnek, ha ugyanazt az exploitkészletet később más szereplők újrahasznosítják, továbbértékesítik vagy újból felhasználják.

Ismerős minta: a kínai APT kampányok folyamatosan fokozódnak

Az UTA0565 nem elszigetelten működik. A Volexity kutatása megjegyzi, hogy a kampányban használt exploitkészlet több kínaihoz kötődő fenyegetési csoport eszközkészletében is megjelent, ami megosztott infrastruktúrára vagy átfedő erőforrásokra utal a különböző fejlett tartós fenyegetés (APT) műveletek között. Ez egy szélesebb tendenciát tükröz, amelyben Kínához kötődő csoportok párhuzamos kémkedési kampányokat folytatnak kormányzati és diplomáciai célpontok ellen világszerte.

A minta egyik friss példája a FamousSparrow SparroWocky hátsó ajtó kampánya, amely latin-amerikai kormányzati intézményeket célzott meg egy korábban nem jelentett malware-darabbal. Az UTA0565 CLEANGULP telepítéséhez hasonlóan a SparroWocky művelet is megmutatja, hogy a Kínához kötődő szereplők folyamatosan finomítják egyedi eszközeiket, hogy hosszú távú hozzáférést tartsanak fenn külföldi kormányzati rendszereken belül. Együttvéve ezek a kampányok összehangolt, folyamatos erőfeszítésre utalnak, nem pedig elszigetelt incidensek sorozatára.

Védelmi lépések: javítások, VPN-ek és a malware-észlelés alapjai

Szervezetek és egyének számára egyaránt az UTA0565 nulla napos exploit elleni védelem az alapok következetes, nem pedig tökéletes végrehajtásával kezdődik:

  • Javítson azonnal, amikor frissítések érkeznek. A nulla napos sebezhetőségek abban a pillanatban elveszítik erejüket, amint elérhetővé válik egy javítás. A késleltetett javítás a Chrome-on, Windows-on vagy bármely széles körben használt szoftveren hosszabb ablakot ad a támadóknak ismert hibák kihasználására még azután is, hogy azok nyilvánosságra kerültek.
  • Engedélyezze az automatikus frissítéseket a böngészőkön és operációs rendszereken, ahol csak lehetséges, különösen kormányzati és vállalati végpontokon, ahol a manuális javítási ciklusok lemaradhatnak.
  • Használjon megbízható VPN-t nem megbízható hálózatokon. Bár a VPN önmagában nem állít meg egy nulla napos exploitláncot, értelmes védelmi réteget ad a forgalom titkosításával és azon hálózati részletek elrejtésével, amelyeket a támadók néha felderítésre használnak a célzott támadások indítása előtt.
  • Telepítsen végpontészlelő eszközöket, amelyek képesek jelezni a szokatlan folyamatviselkedést, mivel a CLEANGULP-hoz hasonló nulla napos malware gyakran rendellenesen viselkedik már azelőtt is, hogy a biztonsági szállítók hivatalosan azonosítanák.
  • Korlátozza vagy figyelje az ismeretlen külső weboldalakhoz való hozzáférést érzékeny hálózatokon, különösen azon munkatársak esetében, akik kormányzati vagy diplomáciai adatokat kezelnek.

Mit jelent ez Önnek

Ha kormányzati, védelmi vagy bármely érzékeny geopolitikai adatokat kezelő ágazatban dolgozik, ez a kampány emlékeztető arra, hogy a javításkezelés nem opcionális, hanem frontvonalbeli védelem. A mindennapi felhasználók számára a tanulság egyszerűbb: tartsa naprakészen böngészőjét és operációs rendszerét, és óvatosan kezelje az ismeretlen linkeket még akkor is, ha azok legitimnek tűnő oldalakon jelennek meg. Az UTA0565 nulla napos exploit elleni védelem nem csak az IT-osztályok aggodalma; egy szélesebb biztonsági fegyelmet tükröz, amely mindenkinek előnyére válik, aki elavult szoftveren böngészi a webet.

A következő kampány előtt járva

Az UTA0565 nulla napos sebezhetőségek láncolásával telepíti a CLEANGULP malware-t, ami egyértelmű mintába illeszkedik: kínai államilag támogatott csoportok egyre kifinomultabb eszközökkel szondázzák a világ kormányzati hálózatait. Ez valószínűleg nem az utolsó ilyen kampány. Az olvasók, akiket érdekel, hogyan fejlődnek ezek a műveletek, megtekinthetik a FamousSparrow SparroWocky hátsó ajtó támadásokat egy másik friss példáért ugyanazon szélesebb játszmakönyv működésére. A tájékozottság, az azonnali javítás és a védelem rétegzése, mint a VPN-használat és a végpontmonitorozás, továbbra is a legpraktikusabb módja a kitettség csökkentésének, ahogy ezek a kémkedési kampányok továbbra is felszínre kerülnek.