Çin Hacked Exploit Juniper Networks yönlendiricileri arka kapıyı implant etmek için

Siber güvenlik araştırmacıları, kritik ağ altyapısını hedefleyen sofistike bir siber casusluk kampanyası ortaya çıkardılar ve Çin devlet destekli bilgisayar korsanlarının taktiklerinde önemli bir evrimi işaretlediler.

Önde gelen bir siber güvenlik firması olan Mantian, ardıç ağlarının yönlendiricilerine konuşlandırılan ve etkinliği UNC3886 olarak bilinen bir Çin casusluk grubuna atfeten birden fazla özel backroor keşfetti.

Backdoors, saldırganlara aktif olarak algılama mekanizmalarından kaçarken uzlaşmış ağlara kalıcı erişim sağladı.

2024’ün ortalarında Mantiant, tehdit aktörlerinin Juniper Networks’ün Junos OS yönlendiricilerine birçok organizasyonel ağ altyapısının kritik bileşenlerini oluşturan özel arka kapı kullandığını keşfetti.

APT bilgisayar korsanları, bu arka kapıları, özellikle ABD ve Asya’daki savunma, teknoloji ve telekomünikasyon organizasyonlarında, ağ cihazlarını ve sanallaştırma teknolojilerini hedefleme geçmişine sahip yüksek vasıflı bir Çin-nexus siber casusluk grubu olan UNC388’e bağladı.

Mantiant, etkinliği araştırmak için Juniper Networks ile çalıştı ve etkilenen Juniper MX yönlendiricilerinin yaşam sonu donanım ve yazılımı çalıştırdığını belirleyerek onları uzlaşmaya karşı özellikle savunmasız hale getirdi.

Keşif, Mantiant’ın UNC3886’nın sanallaştırma teknolojileri ve 2022 ve 2023 yıllarında ağ kenar cihazlarına konuşlandırılan benzer kötü amaçlı yazılım ekosistemlerinin önceki raporlarına dayanıyor.

Bu son kampanya, UNC3886’nın, hedeflenen cihazların altında yatan teknolojinin derin bir anlayışını gösterirken, mağdur ağlarına uzun vadeli erişimi sürdürmeye odaklandığını gösteriyor.

Özel özelliklere sahip sofistike Tinyshell tabanlı arka kapılar

Mantiant’ın soruşturması, birden fazla uzlaşmış Juniper MX yönlendiricisinde altı ayrı kötü amaçlı yazılım örneği tanımladı.

Her numune, özel bir ikili protokol kullanarak iletişim kuran, ancak Junos OS için özel olarak tasarlanmış benzersiz özelliklere sahip olan C’de yazılmış hafif bir arka kapı olan Tinyshell arka kapısının değiştirilmiş bir versiyonuydu.

Arka kapılar, “Appid”, “To”, “Irad”, “LMPAD”, “JDOSD” ve “OEMD” dahil olmak üzere meşru ardıç sistem süreçlerini taklit eden isimlerle akıllıca gizlendi.

Saldırganlar, Normalde yetkisiz kod yürütülmesini önleyen Juniper’ın doğrulanmış EXEC (Verixec) koruma sistemini atlatarak önemli teknik gelişmişlik gösterdiler.

UNC3886 bunu meşru süreçlerin belleğine kötü amaçlı kod enjekte ederek başardı.

Backdoors, hem komut ve kontrol sunucuları ile iletişimi başlatacak aktif varyantları hem de belirli ağ tetikleyicileri alana kadar uykuda kalacak pasif varyantları dahil etti.

Belki de en önemlisi, hedef cihazlardaki günlüğe kaydetme mekanizmalarını devre dışı bırakmak için özel olarak tasarlanmış kodun dahil edilmesiydi ve saldırganların faaliyetlerinin kanıtlarını etkili bir şekilde sildi.

Ağ Güvenliği için Çıkarımlar ve Öneriler

Uzlaşmalar, genellikle uç nokta algılama ve yanıt (EDR) ajanları gibi sağlam güvenlik izleme çözümlerinden yoksun olan yönlendirme altyapısını hedefleyen casusluk yapımlı rakiplerin bir eğilimini vurgulamaktadır.

Bu etkinlik, saldırganlara, gelecekte daha fazla yıkıcı eylem potansiyeli olan önemli yönlendirme altyapısına uzun vadeli, üst düzey erişim sağlar.

Mantiant, kuruluşların kendilerini korumak için çeşitli önerilerde bulundu.

Her şeyden önce, kuruluşlar ardıç cihazlarını Juniper Networks tarafından yayınlanan en son yazılım görüntülerine yükseltmelidir;

Yükselttikten sonra kuruluşlar JMRT Hızlı Tarama ve Dürüstlük Kontrolünü çalıştırmalıdır.

Ek öneriler arasında sağlam çok faktörlü kimlik doğrulamasının uygulanması, ağ cihazları için ayrıntılı erişim kontrolü, idari faaliyetlerin geliştirilmiş izlenmesi, güvenlik açığı yönetimine öncelik verilmesi, bir cihaz yaşam döngüsü yönetimi programının uygulanması, erişim kontrolleri ve segmentasyon yoluyla güvenlik duruşunun güçlendirilmesi ve güvenlik kontrollerini iyileştirmek için tehdit istihbaratından yararlanma.

Ağ altyapısı sofistike tehdit aktörleri tarafından hedeflenmeye devam ettikçe, kuruluşlar dijital iletişimin omurgasını oluşturan bu kritik sistemleri korumak için güvenlik önlemlerinde uyanık ve proaktif kalmalıdır.

Uzlaşma göstergeleri

Ana bilgisayar tabanlı göstergeler

Ağ Göstergeleri

SOC/DFIR ekiplerinden misiniz?: Kötü amaçlı yazılım olaylarını analiz edin ve any.run -> şimdi ücretsiz başlayın.