Hakeri koje podržava Kina iza upada u državnu riznicu SAD-a sada ciljaju na globalne IT lance opskrbe

Otvoreno je novo opasno poglavlje u tekućim kampanjama cyber špijunaže koje provodi Silk Typhoon, hakerska skupina koju podupire kineska vlada nedavno povezana s provalom Ministarstva financija SAD-a. Microsoftov tim za obavještavanje o prijetnjama izdao je oštro upozorenje, otkrivajući da Silk Typhoon sada aktivno iskorištava globalni IT lanac opskrbe kako bi se infiltrirao u tvrtke, provodio nadzor i krao osjetljive podatke.

Ova najnovija aktivnost označava zabrinjavajuću promjenu u taktici Silk Typhoona. Umjesto da izravno napada dobro branjene platforme u oblaku, grupa svoju pozornost usmjerava na pružatelje IT usluga, tvrtke za daljinski nadzor i upravljanje te pružatelje upravljanih usluga (MSP)—same tvrtke odgovorne za osiguranje i održavanje korporativnih mreža širom svijeta.

Kako se Silk Typhoon infiltrira kroz IT lanac opskrbe

Microsoftovi istraživači otkrili su da Silk Typhoon koristi ukradene API ključeve, kompromitirane vjerodajnice i privilegirani pristup za tiho kršenje IT tvrtki. Jednom kada uđu unutra, napadači mogu proširiti svoj doseg u okruženja korisnika na nižim tokovima, dovodeći u opasnost nebrojene organizacije.

Ovi napadi su više nego samo oportunistički . Silk Typhoon demonstrira visoku razinu razumijevanja hibridnih okruženja, vješto upravljajući i lokalnom infrastrukturom i uslugama u oblaku. Microsoft je primijetio kako grupa iskorištava legitimne alate poput Entra Connect (bivši AADConnect) za povećanje privilegija i održavanje dugoročnog pristupa.

Kroz ove ulazne točke, Silk Typhoon provodi:

• Opsežno izviđanje za mapiranje unutarnjih sustava
• Bočno kretanje kroz mreže
• Eksfiltracija podataka iz e-pošte, dijeljenja datoteka i pohrane u oblaku
• Stalni pristup pomoću web ljuski i OAuth aplikacija

Nitko nije siguran bez jake obrane

Microsoft upozorava da čak i organizacije koje nisu izravne mete mogu postati kolateralna šteta preko svojih IT pružatelja usluga. Ako se vaše poslovanje oslanja na zajedničke IT usluge, slabo upravljanje vjerodajnicama ili zastarjeli softver, možda ste već ranjivi.

Povijesno gledano, Silk Typhoon je uspješno probio širok raspon proizvoda, uključujući Microsoft Exchange poslužitelje, VPN uređaje i vatrozide. Grupa je stajala iza provale američkog Ministarstva financija, gdje je špijunirala urede koji se bave stranim ulaganjima i sankcijama, iskorištavajući ranjivosti u softveru kao što su BeyondTrust i PostgreSQL.

Napredne taktike koje koristi Silk Typhoon

Nedavne kampanje Silk Typhoona ističu njihovu rastuću sofisticiranost. Prema Microsoftu, grupa je promatrana koristeći:

• Napadi raspršivanjem lozinki i izviđanje kako bi se otkrile ponovno korištene korporativne lozinke pronađene u javnim spremištima kao što je GitHub
• Ugrožene OAuth aplikacije s dopuštenjima visoke razine za krađu e-pošte, OneDrive datoteka i SharePoint podataka putem MSGrapha
• Kompromisi aplikacija s više zakupaca, omogućujući im da se okreću kroz okruženja oblaka i pristupaju osjetljivim resursima u različitim organizacijama
• Zlouporaba API-ja Exchange Web Services (EWS) za eksfiltraciju komunikacije putem e-pošte

Ono što ove napade čini posebno opasnima je sposobnost Silk Typhoona da otme aplikacije koje već imaju korisnički pristanak, čime se njihova zlonamjerna aktivnost stapa s normalnim operacijama.

Rastuća prijetnja tajfuna Silk

Microsoft opisuje Silk Typhoon kao jednu od najekspanzivnijih kineskih skupina prijetnji na svijetu. Uz snažnu podršku i resurse za brzo iskorištavanje ranjivosti nultog dana, oni predstavljaju značajnu prijetnju u svim sektorima, uključujući državne i lokalne vlasti, financijske institucije i pružatelje IT usluga.

Kako zaštititi svoju organizaciju

U svjetlu ovih događaja, Microsoft potiče organizacije da:

• Kontrolirajte API ključeve i OAuth aplikacije kako biste osigurali da nema sumnjivog ili pretjerano privilegiranog pristupa
• Provedite strogu higijenu vjerodajnica, uključujući redovite promjene lozinki i autentifikaciju s više faktora (MFA)

Usmjeravanje na IT opskrbne lance dokazuje da kibernetička špijunaža više nije samo rizik za vladine subjekte visokog profila. Danas svaka organizacija koja ovisi o zajedničkoj infrastrukturi ili pružateljima trećih strana mora sebe tretirati kao potencijalnu metu.

Cybersigurnosna budnost više nije izborna—to je jedina obrana od protivnika poput Silk Typhoona koji su uvijek na korak od vaših najosjetljivijih podataka.