Több kínai hackercsoport ugrik rá ugyanarra a nulladik napi láncra

A Proofpoint biztonsági cég új jelentése több Kínához köthető fenyegetési csoportot azonosított, amelyek egymástól függetlenül használják ki ugyanazt a nulladik napi sebezhetőségekből álló láncot, hogy behatoljanak szervezetekbe. A Proofpoint szerint a kihasználás gyorsan megkezdődött a hibák felfedezése után, és a cég szerint a tevékenység jelenleg is folyamatban van, és várhatóan szélesedni fog, ahogy egyre több csoport átveszi a technikát.

Ami figyelemre méltóvá teszi ezt a kampányt, az nem csupán a kihasználás sebessége. Hanem az, hogy több különálló, államilag támogatott hackercsoport látszólag ugyanarra a sebezhetőség-együttesre összpontosított nagyjából ugyanabban az időben. Az ilyen párhuzamos átvétel arra utal, hogy a kihasználási láncot vagy megosztják Kína kiberkémkedési ökoszisztémáján belül, vagy elég egyszerű ahhoz, hogy több csoport önállóan is felfedezze. Akárhogy is, ez jól erőforrásokkal ellátott és összehangolt szereplőkre utal, akik gyorsan mozognak, amint egy használható sebezhetőségi lánc elérhetővé válik.

Mit jelent valójában a „nulladik napi lánc”

Azoknak az olvasóknak, akik nem jártasak a biztonsági szakzsargonban: a nulladik napi sebezhetőség egy olyan szoftverhiba, amely a felfedezés és kihasználás idején ismeretlen a gyártó előtt, ami azt jelenti, hogy még nem áll rendelkezésre javítás. A nulladik napi sebezhetőségek „lánca” azt jelenti, hogy a támadók több hibát kapcsolnak össze, az egyik sebezhetőséget a kezdeti hozzáférés megszerzésére használják, egy másikat a jogosultságok eszkalálására, és így tovább, amíg el nem érik a célrendszer teljes ellenőrzését.

Ez a hétköznapi felhasználók számára azért fontos, mert ezek a láncok gyakran olyan hétköznapi dolgokkal kezdődnek, mint egy böngésző, egy e-mail kliens vagy egy széles körben használt vállalati szoftver. Még ha soha nem is hallott a konkrét érintett gyártóról vagy termékről, a mögöttes szoftverkomponensek gyakran megjelennek a fogyasztói és üzleti eszközökben egyaránt. Amikor egy ilyen nulladik napi láncot aktívan kihasználnak, elkezd ketyegni az óra a gyártók számára a javítások kiadására, és a szervezetek számára azok telepítésére, mielőtt több támadó is felfigyelne rá.

A Proofpoint megállapításai egy szélesebb és egyre láthatóbb kínai államilag támogatott kiberműveletek mintájába illeszkednek. A kutatók külön dokumentálták, hogy a kínai hackerek megduplázták támadási volumenüket a DeepSeek AI használatával a felderítés és a kártevő-fejlesztés felgyorsítására, míg más beszámolók a kínai államilag támogatott, újságírók és aktivisták elleni kampányokról azt mutatják, hogy ezek a csoportok nem korlátozódnak vállalati vagy kormányzati célpontokra. Az olyan nyomozócsoportok, mint az Intrusion Truth, még arra is törekedtek, hogy leleplezzék az új kínai kibervállalkozókat, amelyek a kulisszák mögött támogatják ezt az ökoszisztémát, szemléltetve, mennyi infrastruktúra és munkaerő áll az olyan kampányok mögött, mint amit a Proofpoint éppen jelzett.

Kit céloznak, és miért szélesedik a kör

A Proofpoint jelentése a célpontokat „különböző szervezetekként” írja le, anélkül hogy a kampányt egyetlen iparágra vagy régióra szűkítené. Ez a szélesség összhangban van azzal, ahogyan a Kínához köthető kémkedési csoportok általában működnek: hajlamosak a hozzáférést a pontosság elé helyezni, minden olyan szervezetet megcélozva, amely értékes hírszerzési adatokkal, szellemi tulajdonnal vagy stratégiai adatokkal rendelkezik, legyen az kormányzati ügynökség, kutatóintézet vagy olyan magánvállalat, amely hasznos ellátási lánc-kapcsolatokkal bír.

Az a tény, hogy a Proofpoint a tevékenység szélesedését várja, a legfontosabb operatív részlet itt. A nulladik napi láncok ritkán maradnak sokáig kizárólagosak. Amint az egyik csoport bebizonyítja, hogy egy kihasználási lánc működik, mások hajlamosak visszafejteni vagy önállóan újra felfedezni ugyanazt a technikát, különösen akkor, ha a mögöttes sebezhetőségek javítatlanok maradnak. Ez valószínűleg részben az oka annak, hogy több csoport tűnik úgy, hogy egyszerre használja, nem pedig egyetlen szereplő dolgozik egyedül.

Mit jelent ez Önnek

E cikk olvasóinak többsége nem közvetlenül azokat a vállalati rendszereket üzemelteti, amelyeket ezek a csoportok céloznak, de a tovagyűrűző hatások így is számítanak. A szervezetek ellen kihasznált nulladik napi láncok gyakran ugyanazokra a szoftverstackekre, böngészőkre, operációs rendszerekre és produktivitási eszközökre támaszkodnak, amelyek a személyes eszközökön is megjelennek. Amikor a gyártók javítják az ilyen láncban érintett hibákat, ezek a frissítések jellemzően széles körben érvényesek, nem csak a vállalati telepítésekre.

Ha egy szervezetnél dolgozik, különösen a kormányzat, kutatás, technológia vagy bármely bizalmas adatokat kezelő ágazat területén, ez jó alkalom annak megerősítésére, hogy az IT- vagy biztonsági csapata szorosan nyomon követi a gyártói tanácsadókat, és a javításokat amint megjelennek, telepíti. Az egyéneknek ezt emlékeztetőként kell kezelniük arra, hogy a szoftvereket lehetőség szerint automatikusan naprakészen tartsák, mivel a nulladik napi kihasználási ablakok leggyorsabban azoknál a rendszereknél záródnak be, amelyeket gyorsan javítanak.

A VPN használata önmagában nem állít meg egy nulladik napi kihasználási láncot, mivel ezek a támadások jellemzően szoftversehezhetőségeket céloznak, nem hálózati forgalmat. De az általános biztonsági higiénia fenntartása, a szoftverek naprakészen tartása, a többtényezős hitelesítés használata és a belső rendszerek szükségtelen internetes kitettségének korlátozása továbbra is a leghatékonyabb védelem az opportunista kihasználás ellen, miután egy ilyen technika nyilvánosságra kerül.

Egy szélesedő kampány előtt járni

Ez a fajta gyors, több csoportos kihasználás annak a jele, mennyire kifinomulttá és jól összehangolttá váltak az államilag támogatott hackerműveletek. Ahogy a Proofpoint folytatja a kampány nyomon követését, várhatóan további részletek kerülnek napvilágra a konkrét érintett sebezhetőségekről és arról, mely gyártókat érinti. Amíg a javításokat meg nem erősítik és széles körben nem alkalmazzák, a szervezeteknek azt kell feltételezniük, hogy bármely releváns rendszer ki van téve, és ennek megfelelően kell cselekedniük, mivel a Proofpoint egyértelművé tette, hogy ez a tevékenység korántsem fejeződött be.

Egyelőre a gyakorlati tanulságok egyszerűek: javítson gyorsan, figyelje a gyártói biztonsági tanácsadókat, és kezelje az aktív nulladik napi kihasználásról szóló jelentéseket úgy, mint egy jelzést saját kitettségének áttekintésére, nem pedig pánikra okot adó okot. Az ehhez hasonló kémkedésvezérelt kampányok gyorsan mozognak, de azok a szervezetek és egyének, akik naprakészek a frissítésekkel kapcsolatban, jelentősen csökkentik kockázatukat.