Хакеры КПК скрылись в правительственных сетях США F5 на протяжении многих лет

Хакеры, связанные с государственными киберподразделениями Китая, проникли во внутренние сети F5 в конце 2023 года и оставались незамеченными до августа этого года, сообщает Bloomberg.

Сиэтлская компания по кибербезопасности признала в документах, что ее системы были скомпрометированы почти два года, что позволило злоумышленникам получить «долгосрочный, постоянный доступ» к ее внутренней инфраструктуре.

В результате взлома, как сообщается, были раскрыты исходный код, конфиденциальные данные конфигурации и информация о нераскрытых уязвимостях программного обеспечения в ее платформе BIG-IP, технологии, которая обеспечивает работу сетей 85% компаний из списка Fortune 500 и многих федеральных агентств США.

Хакеры проникли через собственное программное обеспечение F5, которое оставалось открытым в интернете после того, как сотрудники не соблюдали внутренние политики безопасности. Злоумышленники использовали эту слабую точку для входа и свободного перемещения внутри систем, которые должны были быть надежно защищены.

Компания F5 сообщила клиентам, что этот просчет напрямую нарушает те же киберрекомендации, которым компания обучает своих клиентов. Когда новость стала достоянием общественности, акции F5 упали более чем на 10% 16 октября, уничтожив миллионы долларов рыночной стоимости.

«Поскольку информация об этой уязвимости стала общедоступной, все, кто использует F5, должны считать, что их системы скомпрометированы», — сказал Крис Вудс, бывший руководитель по безопасности в HP, который теперь является основателем CyberQ Group Ltd., компании по кибербезопасности в Великобритании.

Хакеры использовали технологию F5 для поддержания скрытности и контроля

F5 отправила клиентам в среду руководство по поиску угроз для типа вредоносного ПО под названием Brickstorm, используемого хакерами, связанными с государством Китай, сообщает Bloomberg.

Mandiant, нанятая F5, подтвердила, что Brickstorm позволял хакерам тихо перемещаться по виртуальным машинам VMware и более глубокой инфраструктуре. После закрепления злоумышленники оставались неактивными более года, старая, но эффективная тактика, направленная на то, чтобы переждать период хранения журналов безопасности компании.

Журналы, которые записывают каждый цифровой след, часто удаляются через 12 месяцев для экономии затрат. Как только эти журналы были удалены, хакеры активировались и извлекли данные из BIG-IP, включая исходный код и отчеты об уязвимостях.

F5 заявила, что, хотя некоторые данные клиентов были доступны, у нее нет реальных доказательств того, что хакеры изменили ее исходный код или использовали украденную информацию для эксплуатации клиентов.

Платформа F5 BIG-IP обрабатывает балансировку нагрузки и сетевую безопасность, маршрутизируя цифровой трафик и защищая системы от вторжений.

Правительства США и Великобритании выпускают экстренные предупреждения

Агентство по кибербезопасности и инфраструктуре США (CISA) назвало инцидент «значительной киберугрозой, направленной против федеральных сетей». В экстренной директиве, выпущенной в среду, CISA приказала всем федеральным агентствам идентифицировать и обновить свои продукты F5 до 22 октября.

Национальный центр кибербезопасности Великобритании также выпустил предупреждение о взломе в среду, предупредив, что хакеры могут использовать свой доступ к системам F5 для эксплуатации технологий компании и выявления дополнительных уязвимостей.

После раскрытия информации генеральный директор F5 Франсуа Локо-Доню провел брифинги с клиентами, чтобы объяснить масштаб взлома. Франсуа подтвердил, что компания привлекла CrowdStrike и Mandiant от Google для помощи вместе с правоохранительными органами и правительственными следователями.

Официальные лица, знакомые с расследованием, предположительно сообщили Bloomberg, что за атакой стояло китайское правительство. Однако китайский представитель отверг это обвинение как «безосновательное и сделанное без доказательств».

Илья Рабинович, вице-президент Sygnia по кибербезопасности и консалтингу, сказал, что в случае, раскрытом Sygnia в прошлом году, хакеры скрылись внутри устройств F5 и использовали их как базу «командования и управления» для проникновения в сети жертв без обнаружения. «Есть потенциал для того, чтобы это переросло во что-то масштабное, поскольку множество организаций развертывают эти устройства», — сказал он.