Nowa nazwa w chińskim ekosystemie wykonawców

Najnowsze podsumowanie Risky Bulletin z Risky.biz wskazuje na wydarzenie, którego obserwatorzy prywatności i bezpieczeństwa nie powinni przeoczyć: badacze z Intrusion Truth twierdzą, że zidentyfikowali nową, wcześniej utajnioną chińską firmę IT, która wydaje się pełnić funkcję wykonawcy cybernetycznego i dewelopera narzędzi dla operacji powiązanych z państwem. Wpisuje się to w schemat, który stał się coraz bardziej znany w ciągu ostatniego roku, gdy niezależne grupy badawcze zdzierają korporacyjne fasady wykorzystywane przez wykonawców do budowania i sprzedaży ofensywnych zdolności hakerskich.

To, co czyni to godnym uwagi z perspektywy prywatności, to nie tylko istnienie kolejnego wykonawcy. Chodzi o to, co te układy ujawniają na temat przepływu narzędzi inwigilacji i włamań z firm prywatnych do operacji kierowanych przez rząd. Gdy wewnętrzne narzędzia, listy klientów lub techniki wykonawcy stają się publiczne – czy to dzięki atrybucji badaczy, czy wyciekowi danych – daje to obrońcom rzadki wgląd w łańcuch dostaw stojący za hakerstwem państwowym. Ta widoczność ma znaczenie, ponieważ narzędzia budowane przez tych wykonawców nie pozostają ograniczone do celów szpiegowskich. Techniki i podatności, które wykorzystują, często przenikają na rynek przestępczy, wpływając na zwykłe firmy i osoby długo po zakończeniu pierwotnej kampanii.

Systemy wodociągowe Minnesoty ukazują ryzyko infrastrukturalne

Ten sam biuletyn donosi, że cyberatak zakłócił działanie sieci wodociągowych w ponad 30 społecznościach Minnesoty, co przypomina, że infrastruktura krytyczna pozostaje stałym celem niezależnie od tego, kto stoi za klawiaturą. Systemy wodociągowe, podobnie jak wiele usług komunalnych, często działają na starzejących się systemach sterowania przemysłowego, które nigdy nie były projektowane z myślą o współczesnych zagrożeniach sieciowych. Gdy systemy te są podłączone do internetu w celu zdalnego monitorowania lub konserwacji, stają się osiągalne dla atakujących wykraczających daleko poza pierwotny model zagrożeń.

Incydent ten wpisuje się w szerszy trend opisany w biuletynie: instytucje finansowe i przedsiębiorstwa użyteczności publicznej odkrywają, że odziedziczona infrastruktura, w tym przestarzałe protokoły zdalnego dostępu, pozostaje miękkim punktem wejścia. Ta dynamika dała o sobie znać w oddzielnym przypadku, gdzie ransomware powiązane z luką w starym protokole VPN umożliwiło atakującym włamanie do amerykańskiej instytucji finansowej. Wniosek jest spójny w różnych sektorach: niezałatane lub przestarzałe narzędzia zdalnego dostępu są jednym z najbardziej niezawodnych sposobów na zdobycie przyczółka przez atakujących, czy celem jest stacja uzdatniania wody, czy lokalny bank.

Duński plan zapasowy i wewnętrzna rozprawa Korei Północnej

Dwa inne punkty biuletynu dopełniają intensywny cykl informacyjny. Dania podobno przygotowuje wtórny system bankowy jako zabezpieczenie na wypadek, gdyby cyberataki zakłóciły jej główną infrastrukturę finansową – jest to defensywne posunięcie, które traktuje systemowe ryzyko cybernetyczne dla bankowości tak poważnie jak katastrofę naturalną lub awarię zasilania. To pragmatyczne uznanie, że sama prewencja nie wystarczy; planowanie odporności zakłada teraz, że udany atak na infrastrukturę finansową jest kwestią czasu, a nie tego, czy w ogóle nastąpi.

Tymczasem Korea Północna podobno rozprawia się z hakerami atakującymi banki, co jest niecodzienną wiadomością, biorąc pod uwagę dobrze udokumentowane wykorzystywanie przez ten kraj sponsorowanych przez państwo grup hakerskich do finansowania własnych programów poprzez kradzieże finansowe. Szczegóły są ograniczone, ale podkreśla to, że nawet reżimy autorytarne sponsorujące ofensywne operacje cybernetyczne za granicą muszą zarządzać wewnętrznymi podmiotami, które mogą działać poza dozwolonymi liniami.

Co to oznacza dla Ciebie

Większość czytelników nigdy nie będzie miała bezpośredniej styczności z chińskim wykonawcą cybernetycznym ani państwową grupą hakerską. Ale te historie mają znaczenie z powodu tego, jak bardzo powiązane stały się narzędzia i taktyki. Podatność najpierw wykorzystana przez wykonawcę powiązanego z państwem przeciwko wartościowemu celowi może w ciągu miesięcy pojawić się w zestawach ransomware sprzedawanych grupom przestępczym atakującym małe firmy, szpitale czy przedsiębiorstwa komunalne. Zakłócenia w systemach wodociągowych Minnesoty i incydenty w sektorze finansowym, o których mowa w tym biuletynie, są dowodem na to, że infrastruktura, o której większość ludzi nigdy nie myśli – jak oczyszczanie wody i bankowość lokalna – jest dokładnie w zasięgu zagrożeń.

Dla osób indywidualnych praktyczna lekcja mniej dotyczy konkretnego wykonawcy, a bardziej higieny cybernetycznej: aktualizuj oprogramowanie i klientów VPN, korzystaj z uwierzytelniania wieloskładnikowego, gdziekolwiek jest oferowane, i podchodź sceptycznie do niespodziewanych zakłóceń konta lub usługi, ponieważ czasami mogą być one pierwszą widoczną oznaką szerszego ataku na infrastrukturę.

Kluczowe wnioski

  • Badacze nadal ujawniają ekosystem wykonawców stojących za hakerstwem powiązanym z państwem, co pomaga obrońcom przewidywać pojawiające się narzędzia i techniki.
  • Przestarzałe protokoły zdalnego dostępu, w tym odziedziczone konfiguracje VPN, pozostają powszechnym punktem wejścia dla ataków na instytucje finansowe i infrastrukturę publiczną.
  • Przedsiębiorstwa komunalne, takie jak dotknięte systemy wodociągowe w Minnesocie, są coraz bardziej atrakcyjnymi celami i zasługują na taką samą uwagę w zakresie bezpieczeństwa jak duże banki.
  • Kraje zaczynają budować nadmiarowość, jak wtórny system bankowy Danii, w planowaniu infrastruktury krytycznej – trend, który osoby i organizacje mogą naśladować, mając własne plany awaryjne na wypadek zakłóceń usług.