Hackerii chinezi UTA0565 exploatează vulnerabilități zero-day din Chrome-Windows

Ce este UTA0565 și cum funcționează malware-ul CLEANGULP

Un actor de amenințare legat de statul chinez, urmărit sub numele UTA0565, a fost prins în timp ce înlănțuie vulnerabilități zero-day pentru a pătrunde în rețele guvernamentale și a implementa o tulpină de malware numită CLEANGULP. Cercetătorii în securitate de la Volexity au identificat campania după ce au observat că grupul combina vulnerabilități din Google Chrome și Microsoft Windows, permițând atacatorilor să treacă de la un exploit de browser direct la compromiterea completă a sistemului, fără a avea nevoie ca victima să descarce sau să deschidă un fișier suspect.

Lanțul de atac se bazează, potrivit relatărilor, pe site-uri false sau compromise care atrag țintele să viziteze o pagină controlată de atacatori. Odată ce o versiune vulnerabilă de Chrome încarcă pagina, lanțul de exploit se declanșează, escaladează privilegiile prin vulnerabilitatea din Windows și instalează silențios CLEANGULP. De acolo, malware-ul îi oferă UTA0565 un punct de sprijin pentru spionaj, furt de date sau deplasare laterală suplimentară în rețeaua țintei.

Ceea ce face această campanie notabilă este utilizarea unui lanț zero-day veritabil: vulnerabilități care erau necunoscute dezvoltatorilor Chrome și Windows la momentul exploatării, ceea ce înseamnă că nu exista niciun patch atunci când au început atacurile. Această combinație de stealth și viteză este exact motivul pentru care exploatarea zero-day rămâne una dintre cele mai dificile amenințări pe care apărătorii le pot prinde înainte ca daunele să fie produse.

Cine este expus: dispozitive și rețele în raza de impact

Relatările despre campanie indică entități guvernamentale, în principal din Asia, ca ținte confirmate până acum. Dar lanțurile de exploit zero-day construite în jurul unui software larg utilizat precum Chrome și Windows rareori rămân confinate mult timp la o singură regiune sau sector. Orice organizație sau individ care rulează versiuni nepatch-uite ale acestor platforme este expus(ă) tehnic aceluiași kit de exploit, chiar dacă nu a fost ținta inițială vizată.

Acest lucru este deosebit de îngrijorător pentru agențiile guvernamentale mai mici, contractanți și ONG-uri care pot să nu aibă resursele necesare pentru a monitoriza amenințări de nivel stat-națiune, dar care totuși gestionează date sensibile ce le fac ținte secundare atractive. Utilizatorii obișnuiți sunt mai puțin probabil să fie vizați direct de un grup axat pe spionaj precum UTA0565, dar pot fi totuși prinși în focul încrucișat dacă același kit de exploit este reutilizat, revândut sau repurposat de alți actori ulterior.

Un tipar familiar: campaniile APT chinezești continuă să escaladeze

UTA0565 nu operează izolat. Cercetarea Volexity notează că kitul de exploit folosit în această campanie a apărut în seturile de instrumente ale mai multor grupuri de amenințare aliniate Chinei, sugerând infrastructură partajată sau resurse suprapuse între operațiuni distincte de amenințare persistentă avansată (APT). Acest lucru oglindește o tendință mai largă a grupurilor legate de China de a desfășura campanii paralele de spionaj împotriva țintelor guvernamentale și diplomatice din întreaga lume.

Un exemplu recent al acestui tipar este campania backdoor SparroWocky a FamousSparrow, care a vizat instituții guvernamentale din America Latină folosind o piesă de malware neraportată anterior. La fel ca implementarea CLEANGULP de către UTA0565, operațiunea SparroWocky arată cum actorii legați de China continuă să rafineze instrumente personalizate pentru a menține accesul pe termen lung în sistemele guvernamentale străine. Luate împreună, aceste campanii sugerează un efort coordonat și continuu, mai degrabă decât o serie de incidente izolate.

Măsuri defensive: patch-uri, VPN-uri și elemente de bază pentru detectarea malware-ului

Pentru organizații și indivizi deopotrivă, protecția împotriva exploit-urilor zero-day UTA0565 începe cu elementele de bază făcute consecvent, nu perfect:

• Aplicați patch-uri imediat ce apar actualizări. Vulnerabilitățile zero-day își pierd puterea în momentul în care este disponibilă o soluție. Patch-urile amânate pe Chrome, Windows sau orice software larg utilizat le oferă atacatorilor o fereastră mai lungă pentru a exploata vulnerabilități cunoscute chiar și după ce acestea au devenit publice.
• Activați actualizările automate pe browsere și sisteme de operare oriunde este posibil, în special pe endpoint-urile guvernamentale și enterprise unde ciclurile de patch-are manuală pot întârzia.
• Folosiți un VPN de încredere pe rețele nesigure. Deși un VPN nu va opri singur un lanț de exploit zero-day, adaugă un strat semnificativ de protecție prin criptarea traficului și mascarea detaliilor de rețea pe care atacatorii le folosesc uneori pentru recunoaștere înainte de a lansa atacuri țintite.
• Implementați instrumente de detectare pe endpoint capabile să semnaleze comportamentul anormal al proceselor, deoarece malware-ul zero-day precum CLEANGULP se comportă adesea anormal chiar înainte de a fi identificat oficial de furnizorii de securitate.
• Restrângeți sau monitorizați accesul la site-uri web externe necunoscute pe rețele sensibile, în special pentru personalul care gestionează date guvernamentale sau diplomatice.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă lucrați în guvern, apărare sau orice sector care gestionează date geopolitice sensibile, această campanie este o reamintire că gestionarea patch-urilor nu este opțională, este apărare de primă linie. Pentru utilizatorii obișnuiți, concluzia este mai simplă: mențineți browserul și sistemul de operare actualizate și tratați linkurile necunoscute cu prudență chiar și atunci când apar pe site-uri care par legitime. Protecția împotriva exploit-urilor zero-day UTA0565 nu este doar o preocupare pentru departamentele IT; reflectă o disciplină de securitate mai largă de care beneficiază oricine navighează pe web cu software învechit.

Cum să rămâneți înaintea următoarei campanii

Utilizarea de către UTA0565 a zero-day-urilor înlănțuite pentru a implementa malware-ul CLEANGULP se încadrează într-un tipar clar al grupurilor legate de statul chinez care sondau rețele guvernamentale din întreaga lume cu instrumente din ce în ce mai sofisticate. Este puțin probabil ca aceasta să fie ultima astfel de campanie. Cititorii interesați de modul în care evoluează aceste operațiuni pot consulta atacurile backdoor FamousSparrow SparroWocky pentru un alt exemplu recent al aceluiași playbook mai larg în acțiune. Rămânerea informată, aplicarea promptă a patch-urilor și stratificarea apărărilor precum utilizarea VPN-ului și monitorizarea endpoint-urilor rămân cele mai practice modalități de a reduce expunerea pe măsură ce aceste campanii de spionaj continuă să apară.