UNC3886: хакеры раздувают 0day-пламя, выжигая киберзащиту компаний по всему миру

Киберпреступная группа UNC3886, связанная с Китаем и специализирующаяся на кибершпионаже, использует уязвимости нулевого дня в устройствах Fortinet, Ivanti и VMware, чтобы поддерживать доступ к скомпрометированным системам.

Исследователи из Mandiant сообщили, что злоумышленники используют различные механизмы удержания доступа, включая сетевые устройства, гипервизоры и виртуальные машины. Это позволяет сохранять доступ даже при обнаружении и устранении основной угрозы.

Группа UNC3886 была охарактеризована экспертами как «изощрённая, осторожная и уклончивая». Она использует уязвимости нулевого дня, такие как CVE-2022-41328 (Fortinet FortiOS), CVE-2022-22948 (VMware vCenter) и CVE-2023-20867 (VMware Tools), чтобы внедрять вредоносные программы и получать доступ к учётным данным.

Атаки UNC3886 направлены в первую очередь на организации в Северной Америке, Юго-Восточной Азии и Океании. Также были зафиксированы случаи в Европе, Африке и других регионах Азии. В зоне риска находятся правительства, телекоммуникационные компании, технологические фирмы, оборонные предприятия и энергетические компании.

Одна из ключевых тактик UNC3886 — использование техник, позволяющих обходить системы безопасности и долгое время оставаться незамеченными. Для этого злоумышленники применяют публично доступные руткиты, такие как Reptile и Medusa, последняя из которых развёртывается с использованием компонента установки SEAELF.

На заражённых системах хакеры устанавливают бэкдоры MOPSLED и RIFLESPINE, использующие сервисы GitHub и Google Drive в качестве каналов для обмена C2-командами. MOPSLED является модульным имплантом, общающимся через HTTP, а RIFLESPINE — кроссплатформенным инструментом для передачи файлов и выполнения команд.

UNC3886 также применяет взломанные SSH-клиенты для сбора учётных данных и установку кастомных SSH-серверов. Среди других используемых вредоносных программ — LOOKOVER, сниффер для перехвата TACACS+ пакетов, и несколько бэкдоров, таких как VIRTUALSHINE, VIRTUALPIE и VIRTUALSPHERE, предназначенных для VMware.

Киберпреступники всё чаще используют сложные и изощрённые методы для длительного сохранения доступа к скомпрометированным системам, обходя средства безопасности и оставаясь незамеченными. Организациям рекомендуется своевременно устранять уязвимости и следовать рекомендациям поставщиков используемого программного обеспечения для защиты от подобных угроз.