SIKKERHET

Slu hackergruppe gjemte seg i nettverket i 18 måneder

En nylig oppdaget trusselaktør bruker avanserte metoder for å infiltrere Exchange-servere og holde seg uoppdaget i lang tid.

Nettverksbasert logging, med et spesielt skarpt øye på applikasjonslaget for å se etter unormal SSH-trafikk, kan være avgjørende for å oppdage angrep.
Nettverksbasert logging, med et spesielt skarpt øye på applikasjonslaget for å se etter unormal SSH-trafikk, kan være avgjørende for å oppdage angrep. Illustrasjonsfoto: Colourbox
13. mai 2022 - 11:00

– Trusselaktøren opererer med sofistikert operasjonell sikkerhet, på et nivå vi bare har sett hos et lite knippe aktører, skriver cybersikkerhetsselskapet Mandiant i et blogginnlegg om gruppa de har valgt å kalle UNC3524.

De kriminelle ser ut til å ha spesialisert seg på å snoke i e-poster, de og bruker noen av de samme metodene som kjente russiske spionasje-grupper. Men Mandiant «kan ikke konkludere med at det er en sammenheng».

Gruppa utnytter tilkoblede dingser, som kameraet i møteromsløsninger, og legitime Windows-funksjoner for å holde seg skjult i nettverket i så mye som halvannet år før de blir oppdaget.

– Når sikkerhetsbrudd først blir oppdaget, kaster ikke gruppa bort noe tid, de re-kompromitterer miljøet ved hjelp av en rekke mekanismer og tar umiddelbart opp igjen data-tyveriet, skriver Mandiant.

Trond-Øystein Bjørnnes er konsernsjef i Kiona.
Les også

IT-selskap i Trondheim utsatt for datainnbrudd

Trolig motivert av spionasje

– E-post-meldinger med vedlegg er en rik kilde til informasjon om organisasjoner og blir lagret samlet, så det er enkelt for trusselaktører å samle dem opp, skriver Mandiant.

De fleste e-post-systemer, enten de er i skya eller on prem, tilbyr metoder for å søke og få tilgang til e-post på tvers av organisasjonen, slik som Ediscovery og Graph API. Det er nettopp slike verktøy gruppa misbruker.

Når de først er inne i systemet, kan de bruke API-et til Exchange-serverne til å etterspørre og hente e-poster. Etterforskerne fant at gruppa jobbet målrettet mot innboksene til ansatte i ledergruppa, i anskaffelsesavdelingene, økonomiavdelingene og i sikkerhetsteamet.

– På overflaten kan målrettingen mot individer som jobber med bedrifts-transaksjoner tyde på økonomiske motiver, men det at de klarer å holde seg uoppdaget så lenge, tyder på spionasje, mener Mandiant.

Utnytter sårbarheter i IOT

Mandiant har ikke funnet ut hvordan gruppa først får tilgang til nettverket, men når tilgangen først er sikret, deployer gruppa en ny bakdør av den typen Mandiant kaller Quietexit.

Bakdørene settes på deler av nettverket som gjerne ikke støtter sikkerhetsprogramvare, som tilkoblede enheter som kameraet i konferanseløsninger. Denne typen dingser, gjerne referert til med samlebetegnelsen IOT (Internet of Things), kan være i blindsonen til de sikkerhetsansvarlige, mener Mandiant.

Samtidig utnytter de innebygde Windows-protokoller for å få tilgang til e-post og Microsoft Exchange-servere.

– Ved å gå etter pålitelige systemer som ikke støtter noen form for sikkerhetsverktøy, kan UNC3524 holde seg uoppdaget i nettverket til miljøet i minst 18 måneder, skriver Mandiant.

Vanskelig å oppdage

På denne måten etterlater gruppa seg et ganske beskjedent fotavtrykk og er vanskelig å oppdage.

Fortsatt er det beste alternativet nettverksbasert logging, med et spesielt skarpt øye på applikasjonslaget for å se etter unormal SSH-trafikk, mener Mandiant.

– Virksomheter bør sørge for å ha oversikt over enheter som er på nettverket og som ikke støtter monitoreringsverktøy. Hver enhet har antageligvis leverandørspesifikke metoder for å sikre skikkelig logging, skriver Mandiant.

Artikkelen fortsetter etter annonsen
annonse
Innovasjon Norge
Store muligheter for norsk design i USA
Store muligheter for norsk design i USA
Tekna-president Elisabet Haugsbø forteller at tillitsvalgte har tatt opp at politiet ikke prioriterer nødvendig sivil IT-kompetanse. Her under årets NHO-konferanse i Oslo spektrum.
Les også

Fikk slakt av Riksrevisjonen: Fortsatt bekymret for IT-tilstanden i politiet

Del
Kommentarer:
Du kan kommentere under fullt navn eller med kallenavn. Bruk BankID for automatisk oppretting av brukerkonto.