China-Linked Threat Actors Gabungkan Serangan Automatik dan Manual untuk Mencuri Data Sensitif

China-Linked Threat Actors Gabungkan Serangan Automatik dan Manual untuk Mencuri Data Sensitif

Nasihat bersama daripada CISA, FBI, NSA dan rakan kongsi antarabangsa memberi amaran bahawa aktor siber berkaitan China yang didayakan oleh Integrity Technology Group menggabungkan pengimbasan berskala besar secara automatik dengan eksploitasi manual untuk menyasarkan organisasi di seluruh dunia, termasuk infrastruktur kritikal Amerika Syarikat.

Siapa Di Sebalik Aktiviti Ini

Aktiviti ini dikaitkan dengan Integrity Technology Group, sebuah syarikat berasaskan di China yang mempunyai kaitan dengan kerajaan China. Aktor ini menggunakan taktik yang konsisten dengan kumpulan yang dikenal pasti seperti Flax Typhoon, Ethereal Panda dan Red Juliett. Mereka menggunakan gabungan botnet berskala besar, infrastruktur VPN, teknik living-off-the-land (LOTL) dan repositori alat eksploitasi khusus untuk menembusi rangkaian dan mencuri data sensitif.

Peninjauan dan Akses Awal

Aktor ini banyak bergantung kepada alat pengimbasan open-source untuk mencari sistem dan aplikasi web yang terdedah. Alat yang diperhatikan termasuk BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe dan wpscan. Mereka biasanya menumpukan kepada port biasa (21, 22, 53, 80, 443, 1080) dan, apabila mengimbas laman web, akan menyenaraikan halaman PHP dan ASP.NET.

Satu alat ketara dalam senjata mereka ialah MicroScan, aplikasi web berasaskan Python yang mengandungi lebih 1,300 skrip ujian penembusan. Skrip ini digunakan untuk menguji kelemahan dalam perkhidmatan seperti OpenSSL, Oracle WebLogic, Rejetto, WordPress, Juniper ScreenOS, Jenkins dan Apache Struts. Nasihat itu menyenaraikan pelbagai CVE yang berjaya dieksploitasi melalui skrip ini, termasuk CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199 dan CVE-2023-22894.

Akses awal diperoleh melalui utiliti baris arahan khusus (ditulis dalam Python dan Go), serangan cross-site scripting (XSS) berasaskan JavaScript dan HTML. Dalam kes XSS yang diperhatikan, payload berniat jahat mengubah halaman web terdedah untuk memaparkan medan log masuk palsu, mencuri kelayakan yang dimasukkan dan menghantar muatan malware (live700_v1.exe). Muatan itu menubuhkan proses yang menyamar sebagai DiagTrack.exe dan berkomunikasi dengan infrastruktur yang dikawal aktor.

Akses Kelayakan dan Pengekalan

Bagi menyasarkan persekitaran Microsoft Exchange dan Microsoft 365, aktor ini menggunakan EBurst, alat Python open-source yang menjalankan password spraying dan password guessing terhadap pelbagai antara muka Exchange (termasuk ECP, EWS, OWA, RPC, MAPI, PowerShell, Autodiscover dan ActiveSync).

Untuk mengekalkan akses, aktor ini memasang software klien VPN SoftEther pada peranti yang diceroboh, selalunya dinamakan semula untuk kelihatan seperti executable Windows biasa seperti conhost.exe atau dllhost.exe. Terowong VPN ini membantu menyamarkan trafik kawalan dan arahan serta mengekalkan akses jangka panjang. Pemasang SoftEther biasanya dimuat turun melalui PowerShell, binary LOTL, curl atau wget bergantung kepada sistem operasi.

Pengumpulan dan Pengeksportan Data

Aktor ini memberi tumpuan besar terhadap kecurian emel. Satu skrip PHP yang diperhatikan, Curlc4.txt, berinteraksi dengan API Microsoft EWS untuk mengakses peti mel, memampatkan mesej, secara pilihan menyulitkannya (RC4 atau AES-128-CBC) dan memuat naiknya ke server yang dikawal aktor. Skrip ini menyimpan data secara berperingkat dalam fail bernama samar untuk mengelak pengesanan.

Mereka juga menggunakan DC.exe untuk melaksanakan DCSync, meniru semula data sensitif daripada Active Directory — termasuk kelayakan akaun, keahlian kumpulan dan hubungan amanah. Utiliti lain, office-cli, mengautomasikan akses berterusan ke peti mel Microsoft Outlook 365 menggunakan fail konfigurasi tersimpan dan mengeksport mesej dari semasa ke semasa.

Kandungan emel yang dicuri boleh diakses melalui aplikasi web khusus yang dikawal oleh aktor, dengan beberapa set data yang dieksport dilaporkan dihadkan kepada alamat IP yang terletak di Xiamen, China.

Skop Sasaran

Mangsa meliputi pelbagai sektor infrastruktur kritikal Amerika Syarikat, termasuk Perkhidmatan dan Kemudahan Kerajaan, Pembuatan Kritikal, Penjagaan Kesihatan dan Kesihatan Awam, serta Teknologi Maklumat. Aktor ini juga telah menyasarkan agensi penguatkuasaan undang-undang, pendidikan, organisasi keagamaan dan entiti di seluruh Asia Tenggara, Afrika dan Amerika Utara.

Langkah Mitigasi yang Disyorkan

CISA dan rakan kongsi menggesa organisasi untuk mengukuhkan persekitaran mereka terhadap aktiviti ini. Tindakan utama termasuk:

• Nyahaktifkan perkhidmatan dan port yang tidak digunakan (terutamanya konfigurasi automatik, akses jauh dan perkongsian fail), serta mengehadkan perkhidmatan yang terdedah.
• Sanitasi input pengguna dalam aplikasi web untuk mencegah serangan XSS dan suntikan.
• Kuatkuasakan kawalan identiti yang kukuh: Laksanakan MFA merentas perkhidmatan (terutamanya webmail, VPN dan akaun berkeistimewaan), gantikan lalai dengan kata laluan kukuh, dan patuhi prinsip keistimewaan minimum.
• Tampal dengan agresif: Laksanakan kemas kini tepat pada masanya untuk menangani CVE yang disenaraikan dan kelemahan lain yang diketahui.
• Kukuhkan pengesanan: Pantau penggunaan alat LOTL, replikasi AD luar biasa (DCSync), volum trafik keluar yang tidak normal, aktiviti akaun mencurigakan dan pemasangan VPN tidak dibenarkan.
• Bahagikan rangkaian dan buat sandaran: Gunakan segmentasi rangkaian, kekalkan sandaran di luar talian dan diasingkan, serta uji prosedur pemulihan.

Kesimpulan Utama

Kempen ini menunjukkan bagaimana aktor berkaitan China menggabungkan skala automatik dengan kemahiran manual. Penggunaan alat open-source yang meluas bersama malware khusus, digabungkan dengan penyalahgunaan kelayakan dan pengekalan akses secara rahsia, menjadikan pengesanan awal dan amalan asas keselamatan yang kukuh amat penting bagi para pembela.

Sumber Rujukan

• CISA: Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data (AA26-281A)