Proofpoint: Kinesiska hackergrupper tävlar om att utnyttja nolldagar

Flera kinesiska hackergrupper hoppar på samma nolldagskedja

En ny rapport från säkerhetsföretaget Proofpoint har identifierat flera Kina-kopplade hotgrupper som oberoende av varandra utnyttjar samma kedja av nolldagar-sårbarheter för att ta sig in i organisationer. Enligt Proofpoint inleddes utnyttjandet snabbt efter att sårbarheterna upptäcktes, och företaget uppger att aktiviteten pågår och förväntas spridas i takt med att fler grupper tar till sig tekniken.

Det som gör den här kampanjen anmärkningsvärd är inte bara snabbheten i utnyttjandet. Det är att flera separata, statsbundna hackarkluster tycks ha konvergerat kring samma uppsättning sårbarheter vid ungefär samma tidpunkt. Den typen av parallellt antagande tyder på att exploitkedjan antingen delas inom Kinas cyberespionage-ekosystem eller är tillräckligt enkel för att flera grupper har upptäckt den oberoende av varandra. Hur som helst pekar det på en välfinansierad och samordnad uppsättning aktörer som agerar snabbt när en användbar sårbarhetskedja blir tillgänglig.

Vad en "nolldagskedja" faktiskt innebär

För läsare som inte är djupt insatta i säkerhetsterminologi är en nolldag en mjukvarusårbarhet som är okänd för leverantören när den upptäcks och utnyttjas, vilket innebär att ingen patch finns tillgänglig ännu. En "kedja" av nolldagar innebär att angripare länkar samman flera sårbarheter, använder en sårbarhet för att få initial åtkomst, en annan för att eskalera privilegier, och så vidare, tills de uppnår full kontroll över ett målsystem.

Detta är viktigt för vanliga användare eftersom dessa kedjor ofta börjar med något så vanligt som en webbläsare, en e-postklient eller en allmänt använd företagsmjukvara. Även om du aldrig har hört talas om den specifika leverantören eller produkten i fråga, dyker de underliggande mjukvarukomponenterna ofta upp i både konsument- och företagsverktyg. När en nolldagskedja som denna aktivt utnyttjas börjar klockan ticka för leverantörer att släppa patchar, och för organisationer att tillämpa dem innan fler angripare hakar på.

Proofpoints fynd passar in i ett bredare och alltmer synligt mönster av kinesiska statsbundna cyberoperationer. Forskare har separat dokumenterat kinesiska hackare som fördubblar sin attackvolym med hjälp av DeepSeek AI för att påskynda rekognosering och utveckling av skadlig kod, medan annan rapportering om kinesiska statsstödda kampanjer riktade mot journalister och aktivister visar att dessa grupper inte är begränsade till företags- eller myndighetsmål. Utredningsteam som Intrusion Truth har till och med arbetat för att avslöja nya kinesiska cyberentreprenörer som stödjer detta ekosystem bakom kulisserna, vilket illustrerar hur mycket infrastruktur och manpower som ligger bakom kampanjer som den Proofpoint just flaggat.

Vilka som är måltavlor, och varför det expanderar

Proofpoints rapport beskriver måltavlorna som "olika organisationer", utan att begränsa kampanjen till en enskild bransch eller region. Den bredden är förenlig med hur Kina-kopplade espionagegrupper vanligtvis agerar: de tenderar att prioritera åtkomst framför precision, och går efter alla organisationer som innehar värdefull underrättelseinformation, immateriella rättigheter eller strategiska data, vare sig det är en myndighet, en forskningsinstitution eller ett privat företag med användbara leveranskedjerelationer.

Att Proofpoint förväntar sig att aktiviteten ska spridas är den viktigaste operativa detaljen här. Nolldagskedjor förblir sällan exklusiva länge. När en grupp har visat att en exploitkedja fungerar tenderar andra att reverse-engineera eller oberoende återupptäcka samma teknik, särskilt när de underliggande sårbarheterna förblir opatchade. Det är sannolikt en del av förklaringen till att flera grupper tycks använda den samtidigt snarare än en aktör som arbetar ensam.

Vad detta innebär för dig

De flesta läsare av den här artikeln kör inte de företagssystem som dessa grupper riktar in sig på direkt, men ringeffekterna spelar fortfarande roll. Nolldagskedjor som utnyttjas mot organisationer bygger ofta på samma mjukvarustackar, webbläsare, operativsystem och produktivitetsverktyg som även förekommer på personliga enheter. När leverantörer patchar sårbarheterna i en kedja som denna gäller dessa uppdateringar vanligtvis brett, inte bara företagsdistributioner.

Om du arbetar för en organisation, särskilt en inom statlig verksamhet, forskning, teknik eller någon sektor som hanterar känsliga data, är detta ett bra tillfälle att bekräfta att din IT- eller säkerhetsavdelning följer leverantörsmeddelanden noggrant och tillämpar patchar så snart de släpps. Individer bör se detta som en påminnelse om att hålla mjukvara uppdaterad automatiskt där det är möjligt, eftersom fönstret för nolldagsutnyttjande stängs snabbast för system som patchas snabbt.

Att använda ett VPN stoppar inte en nolldagskedja på egen hand, eftersom dessa attacker vanligtvis riktar in sig på mjukvarusårbarheter snarare än nätverkstrafik. Men att upprätthålla god allmän säkerhetshygien, hålla mjukvara aktuell, använda multifaktorautentisering och begränsa onödig exponering av interna system mot internet, förblir det mest effektiva försvaret mot opportunistiskt utnyttjande när en teknik som denna blir offentlig.

Att ligga steget före en expanderande kampanj

Den här typen av snabbt utnyttjande av flera grupper är ett tecken på hur mogna och välsamordnade statsbundna hackaroperationer har blivit. I takt med att Proofpoint fortsätter spåra kampanjen kan fler detaljer framkomma om de specifika sårbarheterna och vilka leverantörer som påverkas. Tills patchar har bekräftats och brett tillämpats bör organisationer utgå från att relevanta system är exponerade och agera därefter, eftersom Proofpoint har klargjort att denna aktivitet är långt ifrån avslutad.

För närvarande är de praktiska slutsatserna enkla: patcha snabbt, övervaka leverantörers säkerhetsmeddelanden och behandla rapporter om aktivt nolldagsutnyttjande som en signal att granska din egen exponering snarare än en anledning till panik. Espionage-drivna kampanjer som denna rör sig snabbt, men organisationer och individer som håller sig uppdaterade minskar sin risk avsevärt.