Jak działa łańcuch ataku szkodliwego oprogramowania CLEANGULP?

Łańcuch ataku opiera się na fałszywych lub przejętych stronach internetowych, które wabią cele do odwiedzenia strony kontrolowanej przez atakujących, gdzie podatna wersja Chrome uruchamia łańcuch exploitów, eskaluje uprawnienia poprzez lukę w Windows i instaluje CLEANGULP bez pobierania lub otwierania podejrzanego pliku przez ofiarę.

Chińscy hakerzy UTA0565 wykorzystują luki zero-day w Chrome i Windows

Q: Czym jest UTA0565?

UTA0565 to powiązany z chińskim państwem aktor zagrożenia, który został przyłapany na łańcuchowym wykorzystywaniu luk zero-day do włamywania się do sieci rządowych i wdrażania szkodliwego oprogramowania o nazwie CLEANGULP.

Q: Kto jest potwierdzonym celem tej kampanii?

Doniesienia wskazują na podmioty rządowe, głównie w Azji, jako potwierdzone dotychczas cele.

Q: Dlaczego exploity zero-day są uważane za tak niebezpieczne?

Luki zero-day to podatności, które w momencie eksploatacji były nieznane twórcom Chrome i Windows, co oznacza, że gdy ataki się rozpoczęły, nie istniała żadna poprawka, a to połączenie skrytości i szybkości sprawia, że obrońcom trudno jest je wykryć, zanim zostaną wyrządzone szkody.

Q: Czy inne grupy zagrożeń używają tego samego zestawu exploitów?

Tak, badania Volexity wskazują, że zestaw exploitów użyty w tej kampanii pojawił się w narzędziach wielu grup zagrożeń powiązanych z Chinami, co sugeruje współdzieloną infrastrukturę lub nakładające się zasoby między odrębnymi operacjami APT.

Czym jest UTA0565 i jak działa szkodliwe oprogramowanie CLEANGULP

Powiązany z chińskim państwem aktor zagrożenia o nazwie UTA0565 został przyłapany na łańcuchowym wykorzystywaniu luk zero-day do włamywania się do sieci rządowych i wdrażania szkodliwego oprogramowania o nazwie CLEANGULP. Badacze bezpieczeństwa z Volexity zidentyfikowali tę kampanię po zauważeniu, że grupa łączy luki w Google Chrome i Microsoft Windows, co pozwala atakującym przejść od exploitu przeglądarki bezpośrednio do pełnego przejęcia systemu bez konieczności pobierania lub otwierania podejrzanego pliku przez ofiarę.

Łańcuch ataku opiera się podobno na fałszywych lub przejętych stronach internetowych, które wabią cele do odwiedzenia strony kontrolowanej przez atakujących. Gdy podatna wersja Chrome załaduje tę stronę, uruchamia się łańcuch exploitów, następuje eskalacja uprawnień poprzez lukę w Windows i po cichu instalowane jest CLEANGULP. Od tego momentu szkodliwe oprogramowanie daje UTA0565 punkt zaczepienia do szpiegostwa, kradzieży danych lub dalszego ruchu bocznego wewnątrz sieci celu.

To, co wyróżnia tę kampanię, to wykorzystanie prawdziwego łańcucha zero-day: luk, które w momencie eksploatacji były nieznane twórcom Chrome i Windows, co oznacza, że gdy ataki się rozpoczęły, nie istniała żadna poprawka. To połączenie skrytości i szybkości jest dokładnie tym, dlaczego eksploatacja zero-day pozostaje jednym z najtrudniejszych zagrożeń do wykrycia przez obrońców, zanim zostaną wyrządzone szkody.

Kto jest zagrożony: urządzenia i sieci w zasięgu rażenia

Doniesienia o tej kampanii wskazują na podmioty rządowe, głównie w Azji, jako potwierdzone dotychczas cele. Jednak łańcuchy exploitów zero-day zbudowane wokół powszechnie używanych programów, takich jak Chrome i Windows, rzadko pozostają ograniczone do jednego regionu lub sektora na długo. Każda organizacja lub osoba korzystająca z niezałatanych wersji tych platform jest technicznie narażona na ten sam zestaw exploitów, nawet jeśli nie była pierwotnym zamierzonym celem.

Jest to szczególnie niepokojące dla mniejszych agencji rządowych, wykonawców i organizacji pozarządowych, którym może brakować zasobów do monitorowania zagrożeń na poziomie państwowym, a które jednocześnie przetwarzają wrażliwe dane czyniące je atrakcyjnymi celami wtórnymi. Zwykli użytkownicy rzadziej są bezpośrednio celem grupy nastawionej na szpiegostwo, takiej jak UTA0565, ale nadal mogą znaleźć się w ogniu krzyżowym, jeśli ten sam zestaw exploitów zostanie ponownie użyty, odsprzedany lub przystosowany przez innych aktorów w przyszłości.

Znajomy wzorzec: chińskie kampanie APT stale eskalują

UTA0565 nie działa w izolacji. Badania Volexity wskazują, że zestaw exploitów użyty w tej kampanii pojawił się w narzędziach wielu grup zagrożeń powiązanych z Chinami, co sugeruje współdzieloną infrastrukturę lub nakładające się zasoby między odrębnymi operacjami zaawansowanych trwałych zagrożeń (APT). Odzwierciedla to szerszy trend grup powiązanych z Chinami prowadzących równoległe kampanie szpiegowskie przeciwko celom rządowym i dyplomatycznym na całym świecie.

Niedawnym przykładem tego wzorca jest kampania backdoora SparroWocky grupy FamousSparrow, która obrała za cel instytucje rządowe Ameryki Łacińskiej, wykorzystując wcześniej niezgłoszone szkodliwe oprogramowanie. Podobnie jak wdrożenie CLEANGULP przez UTA0565, operacja SparroWocky pokazuje, jak aktorzy powiązani z Chinami nieustannie udoskonalają niestandardowe narzędzia, aby utrzymać długoterminowy dostęp do wnętrza zagranicznych systemów rządowych. Wzięte razem, te kampanie sugerują skoordynowany, trwający wysiłek, a nie serię odizolowanych incydentów.

Kroki obronne: łatanie, VPN i podstawy wykrywania złośliwego oprogramowania

Zarówno dla organizacji, jak i osób prywatnych ochrona przed eksploatacją zero-day UTA0565 zaczyna się od podstaw stosowanych konsekwentnie, a nie perfekcyjnie:

Łataj natychmiast, gdy pojawią się aktualizacje. Luki zero-day tracą swoją moc w momencie udostępnienia poprawki. Opóźnione łatanie Chrome, Windows lub innego powszechnie używanego oprogramowania daje atakującym dłuższe okno na wykorzystanie znanych luk, nawet po ich upublicznieniu.
Włącz automatyczne aktualizacje w przeglądarkach i systemach operacyjnych, gdziekolwiek to możliwe, szczególnie na stacjach roboczych instytucji rządowych i przedsiębiorstw, gdzie ręczne cykle łataniania mogą się opóźniać.
Korzystaj ze sprawdzonego VPN w niezaufanych sieciach. Chociaż VPN sam w sobie nie powstrzyma łańcucha exploitów zero-day, dodaje istotną warstwę ochrony, szyfrując ruch i maskując szczegóły sieci, których atakujący czasami używają do rozpoznania przed rozpoczęciem ukierunkowanych ataków.
Wdróż narzędzia wykrywania na punktach końcowych zdolne do oznaczania nietypowego zachowania procesów, ponieważ złośliwe oprogramowanie zero-day, takie jak CLEANGULP, często zachowuje się anomalnie, zanim zostanie formalnie zidentyfikowane przez dostawców bezpieczeństwa.
Ogranicz lub monitoruj dostęp do nieznanych zewnętrznych stron internetowych w wrażliwych sieciach, szczególnie dla pracowników zajmujących się danymi rządowymi lub dyplomatycznymi.

Co to oznacza dla Ciebie

Jeśli pracujesz w administracji rządowej, sektorze obronnym lub jakimkolwiek sektorze zajmującym się wrażliwymi danymi geopolitycznymi, ta kampania jest przypomnieniem, że zarządzanie poprawkami nie jest opcjonalne — to obrona pierwszej linii. Dla zwykłych użytkowników wniosek jest prostszy: aktualizuj przeglądarkę i system operacyjny oraz podchodź ostrożnie do nieznanych linków, nawet gdy pojawiają się na wyglądających na legalne stronach. Ochrona przed eksploatacją zero-day UTA0565 nie jest zmartwieniem wyłącznie działów IT; odzwierciedla szerszą dyscyplinę bezpieczeństwa, która przynosi korzyści każdemu, kto przegląda sieć na przestarzałym oprogramowaniu.

Wyprzedzanie następnej kampanii

Wykorzystanie przez UTA0565 łańcuchowych luk zero-day do wdrożenia szkodliwego oprogramowania CLEANGULP wpisuje się w wyraźny wzorzec grup powiązanych z chińskim państwem sondujących sieci rządowe na całym świecie coraz bardziej wyrafinowanymi narzędziami. Jest mało prawdopodobne, że będzie to ostatnia taka kampania. Czytelnicy zainteresowani tym, jak ewoluują te operacje, mogą zapoznać się z atakami backdoora FamousSparrow SparroWocky, aby zobaczyć kolejny niedawny przykład tego samego szerszego schematu działań. Pozostawanie na bieżąco, szybkie łatanie i warstwowe zabezpieczenia, takie jak korzystanie z VPN i monitorowanie punktów końcowych, pozostają najbardziej praktycznymi sposobami ograniczenia ekspozycji, gdy te kampanie szpiegowskie wciąż się pojawiają.