FBI a confiscat unelte de hackare legate de atacuri cibernetice chinezești împotriva agențiilor americane

Cum a scăpat botnetul chinez de detectarea FBI?

FBI a anunțat miercuri că a întrerupt un botnet și confiscat două platforme de hackare utilizate de operatori cibernetici ai guvernului chinez pentru a infiltră NASA, Senatul SUA, Departamentul Energiei și alte rețele federale critice. Operațiunea a visat infrastructura crezută a fi parte dintr-o campanie de spionaj mai largă care a afectat mai multe entități guvernamentale americane, inclusiv Federal Reserve, Departamentul Justiției, Departamentul Sănătății și Serviciilor Umane și Institutii Naționale de Sănătate.

Autoritățile au spus că confiscarea reprezintă un pas semnificativ în combaterea amenințărilor cibernetice susținute de state.

Uneltele confiscate au fost, conform declarațiilor, utilizate pentru a menține accesul persistent la sistemele compromise, facilitând exfiltrarea datelor și reconnaissance pe perioade lungi. Investigatori au legat botnetul de un grup cunoscut pentru spionaj cibernetic în numele Pekinului, țintind date științifice, economice și guvernamentale sensitive.

FBI a colaborat cu parteneri din sectorul privat și aliști internați pentru a identifica și demonta infrastructura, care a fost activă luni în urmă înainte de a fi detectată.

Funcționarii au subliniat că perturbarea a fost efectuată în conformitate cu legea și nu a afectat serviciile publice.

Botnetul s-a bazat pe rutere și dispozitive IoT compromise pentru a masca originea sa, rutind traficul prin canale care pareau legitime pentru a evita declanșarea alertei de securitate standard. Această tehnică a permis atacătorilor să se amestec cu comportamentul de rețea normal, făcând detectarea timpurie grea chiar și pentru sistemele de monitorizare avansate.

Cum a reușit botnetul chinez să evadeze detectarea FBI?

Experții în cibersecuritate au observat că utilizarea tacticii „living-off-the-land” — abuzarea instrumentelor legitime deja prezente în rețelele victime — a complicat și mai mult atribuirea și FBI a spus că confiscarea a inclus serverele de comandă și control și cadranele de malware, care au fost actualizate în mod regulat pentru a contorna aparările.

În urma intruziunii, agențiile afectate revizuiesc segmentarea rețelei, controlurile de acces și capacitățile de detectare a endpoint-urilor. Agentia pentru Securitatea Cibernetică și Infrastructură (CISA) a emis avertisări care îndeplinește operatorii federal și ai infrastructurii critice să repare vulnerabilitățile cunoscute la nivelul dispozitivelor de margine și să monitorizeze traficul de ieșire anormal.

Funcționarii au subliniat de asemenea importanța autentificării multifactoriale și îmbunătățirii jurnalizării pentru a detecta mișcarea laterală. Deși niciun pierdere de date publice nu a fost confirmată, investigațiile continuă pentru a determina ce informații au putut fi accesate în perioada intruziunii.

A fost informația clasificată furată în aceste atacuri?

FBI nu a confirmat dacă datele clasificate au fost compromise, declarând că investigația este în curs și se concentrează pe determinarea scopului de acces pe rețelele afectate.

Cum a reușit FBI să acceseze și să confisque infrastructura botnetului? Confiscarea a fost efectuată pe baza unor ordini de judecată care autorizau întreruperea serverelor de comandă și control ale botnetului, care erau situate în afara Statelor Unite, dar controlate prin domenii și adrese IP legate de actorul de amenință.

Agențiile SUA sunt acum complet protejate de amenințări similare? Autoritățile recunosc că, deși această perturbare slăbește capacitățile atacatorilor, amenința rămâne persistentă, și agențiile sunt răbdate să țină o vigilă ridicată și să adopte practicile recomandate de igienă cibernetică.