Falhas conhecidas são usadas em ataques de VPNs e dispositivos de rede

O aviso diz respeito a ataques que exploram bugs que afetam roteadores de pequenas empresas, dispositivos de armazenamento conectado à rede (NAS) e VPNs corporativas. Mas as agências também detalham a atividade de varredura e os comprometimentos de servidores de autenticação especializados usados ​​pelas principais empresas de telecomunicações e provedores de serviços de rede. Dispositivos de rede como roteadores de pequenas empresas e dispositivos NAS servem como pontos de acesso adicionais para rotear o tráfego de comando e controle (C2) dos atores.

“Essa técnica permitiu que os atores obtivessem acesso às contas das vítimas usando código de exploração disponível publicamente contra serviços de rede privada virtual (VPN) ou aplicativos voltados para o público – sem usar seu próprio malware distintivo ou de identificação – desde que os atores agissem antes que as organizações das vítimas atualizassem seus sistemas”.

O aviso diz respeito a ataques que exploram bugs que afetam roteadores de pequenas empresas, dispositivos de armazenamento conectado à rede (NAS) e VPNs corporativas. Mas as agências também detalham a atividade de varredura e os comprometimentos de servidores de autenticação especializados usados ​​pelas principais empresas de telecomunicações e provedores de serviços de rede. 

Dispositivos de rede como roteadores de pequenas empresas e dispositivos NAS servem como pontos de acesso adicionais para rotear o tráfego de comando e controle (C2) dos atores.  

Os agentes de ameaças apoiados pela China também usaram estruturas de exploração de software de código aberto para roteadores para verificar vulnerabilidades em dispositivos voltados para a Internet. Para comprometer os provedores de telecomunicações, os invasores identificaram servidores RADIUS (Remote Authentication Dial-In User Service) críticos e usaram comandos SQL para despejar credenciais de usuário e administrador do banco de dados subjacente do servidor. 

RADIUS é um padrão de protocolo de rede amplamente suportado para autenticação, autorização e gerenciamento de contabilidade de usuários que acessam uma rede. Usando credenciais dos servidores RADIUS de destino, os atores empregaram scripts automatizados personalizados para roteadores Cisco e Juniper para autenticar em um roteador afetado via Secure Shell (SSH) e executar comandos de roteador. Os atores salvaram a saída desses comandos, incluindo configurações de roteadores individuais, e, em seguida, moveu as informações para sua própria infraestrutura. Tendo obtido configurações de roteador, bem como contas e credenciais válidas, os invasores seriam capazes de manipular o tráfego dentro de uma rede direcionada e exfiltrar o tráfego dela. “Os atores cibernéticos provavelmente usaram scripts adicionais para automatizar ainda mais a exploração de redes de vítimas de médio a grande porte, onde roteadores e switches são numerosos, para reunir um grande número de configurações de roteador que seriam necessárias para manipular com sucesso o tráfego dentro da rede. Armados com contas e credenciais válidas do servidor RADIUS comprometido e das configurações do roteador, os atores cibernéticos retornaram à rede e usaram seu acesso e conhecimento para autenticar e executar comandos de roteador com sucesso para rotear, capturar e exfiltrar o tráfego da rede para a infraestrutura controlada pelo ator.”

Atores cibernéticos patrocinados pelo estado da RPC normalmente conduzem suas invasões acessando servidores comprometidos chamados pontos de salto de vários endereços de protocolo de Internet (IP) baseados na China que resolvem para diferentes provedores de serviços de Internet (ISPs) chineses. Os atores cibernéticos normalmente obtêm o uso de servidores alugando acesso remoto direta ou indiretamente de provedores de hospedagem. Eles usam esses servidores para registrar e acessar contas de e-mail operacionais, hospedar domínios C2 e interagir com as redes das vítimas. Os atores cibernéticos usam esses pontos de salto como uma técnica de ofuscação ao interagir com as redes das vítimas.

Esses atores cibernéticos também estão evoluindo e adaptando táticas consistentemente para contornar as defesas. A NSA, a CISA e o FBI observaram atores cibernéticos patrocinados pelo estado monitorando as contas e ações dos defensores da rede e, em seguida, modificando sua campanha em andamento conforme necessário para permanecer indetectáveis. Os atores cibernéticos modificaram sua infraestrutura e conjuntos de ferramentas imediatamente após a divulgação de informações relacionadas às suas campanhas em andamento. Atores cibernéticos patrocinados pelo estado da RPC geralmente misturam seu conjunto de ferramentas personalizado com ferramentas disponíveis publicamente, especialmente aproveitando ferramentas nativas do ambiente de rede, para obscurecer sua atividade misturando-se ao ruído ou à atividade normal de uma rede.

A NSA, a CISA e o FBI consideram as vulnerabilidades e exposições comuns (CVEs) listadas na tabela abaixo como os CVEs de dispositivos de rede mais frequentemente explorados por atores cibernéticos patrocinados pelo estado da RPC desde 2020.