Kinesisk APT41 har brutit mot amerikanska regeringsnätverk genom USAHerds-appen
Säkerhetsforskare med Mandiant-säkerhet publicerade en nyligen publicerad rapport som beskriver deras resultat om den senaste aktiviteten av APT41 - en cyberbrottsutrustning som tros ha stöd från den kinesiska staten. Enligt Mandiant lyckades APT41 använda en kombination av Log4j-attacker och nolldagssårbarheter för att äventyra flera amerikanska regeringsnätverk.
Zero-days och Log4j används tillsammans
De aktuella nolldagssårbarheterna finns i en applikation som heter USAHerds. Det är ett verktyg som används av djuruppfödare över hela USA som ett "informationshanteringssystem för djurhälsa". Applikationen har funnits i ett antal år nu. Det var dock först nyligen som APT41 lyckades missbruka säkerhetsbrister i den.
APT41 tros vara en statligt sponsrad kinesisk-baserad outfit som traditionellt ägnar sig åt cyberspionage. I denna senaste attack upptäckte forskare nya verktyg, nya metoder för att undvika upptäckt och nya tekniker som hotaktören använder.
Sårbarheten som används för att komma åt amerikanska nätverk spåras som CVE-2021-44207. Attacken använde ett tvådelat tillvägagångssätt, som också utnyttjade den ökända Log4j-sårbarheten. Sårbarheten i USAHerds korrigerades i november 2021 och förlitade sig på programmets användning av hårdkodade, statiska validerings- och krypteringsnycklar, vilket så småningom tillät fjärrkörning av kod på systemet.
Applikationen delade de statiska nycklarna över alla installerade instanser, istället för att generera unika vid varje installation, vilket är ett betydande säkerhetsproblem, enligt forskare.
Minst sex nätverk som APT41 har åtkomst till
Det finns inget sätt att veta hur APT41 lyckades få tag i de delade nyckelvärdena men när de väl hade tillgång till dessa kunde de få tillgång till "valfri server" som kör USAHerds-applikationen. Även om sex amerikanska regeringsnätverk är kända för att ha äventyrats i attacken, förväntar Mandiant att det finns fler offer där ute som helt enkelt inte har registrerats.
APT41 har riktat in sig på USA-baserade enheter under en lång tid nu, med attacker associerade med samma outfit som går tillbaka till 2019. Gruppen är känd för att vara skarp och smidig när det kommer till undanflykt och använda avancerade tekniker när de infiltrerar sina mål.