Хакеры проникли через федеральные брандмауэры США

По словам высокопоставленного федерального чиновника, хакеры обошли защиту, скомпрометировав устройства брандмауэра внутри федерального правительства.

В четверг Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) отправило срочную директиву, предписывающую агентствам обеспечить безопасность устройств Cisco и выявить любые признаки компрометации.

Крис Бутера, исполняющий обязанности заместителя исполнительного директора кибербезопасности CISA, даже попросил другие государственные органы и частные компании принять аналогичные меры предосторожности, отметив, что угроза носит широкий характер.

По словам американского чиновника, около 10 организаций по всему миру были взломаны, хотя это число может увеличиться. Чиновник заявил, что в кампании все еще есть «много неизвестных». Другой американский чиновник назвал кампанию «очень сложной» и отметил высокую изощренность вредоносного ПО хакеров.

«CISA глубоко обеспокоена этой активностью», — сказал второй чиновник. «Если агентства не займутся этим немедленно, это может плохо для них закончиться».

Cisco называет методы злоумышленников сложными и изощренными

Группа, которую Cisco называет ArcaneDoor, по сообщениям, проводит шпионские операции с прошлого года. Согласно CISA, их атак действия могут нанести ущерб критической инфраструктуре в США. Тем не менее, Вашингтон готовится к насыщенным нескольким дням, пока команды работают над обнаружением хакеров и защитой уязвимых устройств до того, как произойдет больший ущерб. Агентства должны обновить системы и представить отчеты к пятнице.

Cisco сообщил репортерам, что сотрудничал с несколькими агентствами в мае для расследования взломов и позже обнаружил три дополнительные уязвимости, использованные злоумышленниками. Компания заявила, что хакеры использовали эти недостатки для установки вредоносного ПО, выполнения команд и потенциальной кражи данных. Компания также посоветовала клиентам немедленно обновить свои системы. Правительство Великобритании также выпустило собственное предупреждение в четверг, описав вредоносное ПО хакеров как «значительный шаг вперед» по сравнению с их более ранними инструментами.

Согласно анализу Cisco, хакеры использовали несколько уязвимостей нулевого дня и применяли скрытные тактики, такие как отключение ведения журнала, перехват команд и вывод устройств из строя, чтобы избежать обнаружения. Компания даже описывает тактики как сложные и изощренные. Скомпрометированные устройства включали определенные модели из серии Cisco ASA 5500-X, которые служат брандмауэрами для защиты корпоративных сетей от атак. 

Аналитики полагают, что в атаке участвовала группа, связанная с Китаем

До сих пор власти не назвали подозреваемых в атаке, но исследователи полагают, что хакеры связаны с Китай и на протяжении длительного времени целенаправленно эксплуатировали уязвимости Cisco. Бутера заявил, что их директива поможет определить полный масштаб компрометации федеральных сетей.

Unit 42 от Palo Alto Networks также сообщила CNN, что считает кампанию связанной с Китаем и отметила, что вскоре другие группы могут начать эксплуатировать те же уязвимости, теперь что они и исправления стали общедоступны. Сэм Рубин, старший вице-президент Unit 42, подчеркнул: «Как мы видели ранее, теперь, когда патчи доступны, мы можем ожидать эскалации атак, поскольку группы киберпреступников быстро разберутся, как воспользоваться этими уязвимостями». Palo Alto мониторит хакеров по всему миру, и, по их данным, группа меняет тактику и все больше ориентируется на американские организации. 

Это раскрытие информации произошло всего через несколько дней после того, как Mandiant, часть Google, заявила, что отдельная группа подозреваемых китайских хакеров проникла в американские разработчики программного обеспечения и юридические фирмы в рамках кампании шпионажа, связанной с торговой войной между США и Китаем. Компания заявила, что полное устранение последствий может занять месяцы.