SIKKERHET

Slu hackergruppe gjemte seg i nettverket i 18 måneder

En nylig oppdaget trusselaktør bruker avanserte metoder for å infiltrere Exchange-servere og holde seg uoppdaget i lang tid.

Nettverksbasert logging, med et spesielt skarpt øye på applikasjonslaget for å se etter unormal SSH-trafikk, kan være avgjørende for å oppdage angrep.
Nettverksbasert logging, med et spesielt skarpt øye på applikasjonslaget for å se etter unormal SSH-trafikk, kan være avgjørende for å oppdage angrep. Illustrasjonsfoto: Colourbox
13. mai 2022 - 11:00

– Trusselaktøren opererer med sofistikert operasjonell sikkerhet, på et nivå vi bare har sett hos et lite knippe aktører, skriver cybersikkerhetsselskapet Mandiant i et blogginnlegg om gruppa de har valgt å kalle UNC3524.

De kriminelle ser ut til å ha spesialisert seg på å snoke i e-poster, de og bruker noen av de samme metodene som kjente russiske spionasje-grupper. Men Mandiant «kan ikke konkludere med at det er en sammenheng».

Gruppa utnytter tilkoblede dingser, som kameraet i møteromsløsninger, og legitime Windows-funksjoner for å holde seg skjult i nettverket i så mye som halvannet år før de blir oppdaget.

– Når sikkerhetsbrudd først blir oppdaget, kaster ikke gruppa bort noe tid, de re-kompromitterer miljøet ved hjelp av en rekke mekanismer og tar umiddelbart opp igjen data-tyveriet, skriver Mandiant.

Tore Kristoffersen og Arne Igesund i Lyse Tele/Ice utenfor 5G-laben i Nydalen, der ingeniørene blant annet tester 5G-utstyr før det tas i bruk i nettverkene.
Les også

Vil la mobilnettene fungere også hvis landet kuttes i to

Trolig motivert av spionasje

– E-post-meldinger med vedlegg er en rik kilde til informasjon om organisasjoner og blir lagret samlet, så det er enkelt for trusselaktører å samle dem opp, skriver Mandiant.

De fleste e-post-systemer, enten de er i skya eller on prem, tilbyr metoder for å søke og få tilgang til e-post på tvers av organisasjonen, slik som Ediscovery og Graph API. Det er nettopp slike verktøy gruppa misbruker.

Når de først er inne i systemet, kan de bruke API-et til Exchange-serverne til å etterspørre og hente e-poster. Etterforskerne fant at gruppa jobbet målrettet mot innboksene til ansatte i ledergruppa, i anskaffelsesavdelingene, økonomiavdelingene og i sikkerhetsteamet.

– På overflaten kan målrettingen mot individer som jobber med bedrifts-transaksjoner tyde på økonomiske motiver, men det at de klarer å holde seg uoppdaget så lenge, tyder på spionasje, mener Mandiant.

Utnytter sårbarheter i IOT

Mandiant har ikke funnet ut hvordan gruppa først får tilgang til nettverket, men når tilgangen først er sikret, deployer gruppa en ny bakdør av den typen Mandiant kaller Quietexit.

Bakdørene settes på deler av nettverket som gjerne ikke støtter sikkerhetsprogramvare, som tilkoblede enheter som kameraet i konferanseløsninger. Denne typen dingser, gjerne referert til med samlebetegnelsen IOT (Internet of Things), kan være i blindsonen til de sikkerhetsansvarlige, mener Mandiant.

Samtidig utnytter de innebygde Windows-protokoller for å få tilgang til e-post og Microsoft Exchange-servere.

– Ved å gå etter pålitelige systemer som ikke støtter noen form for sikkerhetsverktøy, kan UNC3524 holde seg uoppdaget i nettverket til miljøet i minst 18 måneder, skriver Mandiant.

Vanskelig å oppdage

På denne måten etterlater gruppa seg et ganske beskjedent fotavtrykk og er vanskelig å oppdage.

Fortsatt er det beste alternativet nettverksbasert logging, med et spesielt skarpt øye på applikasjonslaget for å se etter unormal SSH-trafikk, mener Mandiant.

– Virksomheter bør sørge for å ha oversikt over enheter som er på nettverket og som ikke støtter monitoreringsverktøy. Hver enhet har antageligvis leverandørspesifikke metoder for å sikre skikkelig logging, skriver Mandiant.

Riksrevisjonen har egne folk til å simulere dataangrep mot norske offentlige virksomheter. Men de vil helst bort fra stereotypen om hackere med svarte hettegensere, rullegardiner og masse Pepsi max. Fra venstre: IT-revisor Børre Lagesen, prosjektleder Thomas Solberg og IT-revisor Egil Andresen.
Les også

Avslørte dårlig IT-sikkerhet i forskningssektoren: Slik brøt de seg inn i systemene

Del
Kommentarer:
Du kan kommentere under fullt navn eller med kallenavn. Bruk BankID for automatisk oppretting av brukerkonto.
Tekjobb
Se flere jobber
En tjeneste fra