קבוצות של מדינות לאום עוברות לכלים בקוד פתוח
סופוס, מובילה עולמית של פתרונות אבטחה חדשניים לסיכול מתקפות סייבר, פרסמה היום מחקר, "“Crimson Palace: New Tools, Tactics, Targets, המפרט את ההתפתחויות האחרונות במסע ריגול סייבר סיני בחסות מדינתית שנמשך כמעט שנתיים בדרום מזרח אסיה. Sophos X-Ops דיווחו לראשונה על Operation Crimson Palace ביוני, אז גם תיארו במפורט את שלושה האשכולות הנפרדים של הפעילות הסינית – Cluster Alpha, Cluster Bravo ו- Cluster Charlie – אשר פעלו בתוך ארגון ממשלתי בעל פרופיל גבוה. באוגוסט 2023, דיווחו Sophos X-Ops על פעילות מחודשת של Cluster Bravo ו- Cluster Charlie, הן בתוך ארגון היעד הראשוני והן בארגונים רבים אחרים באזור.

בעודם חוקרים את הפעילות המחודשת, חשפו בסופוס keylogger חדש שהם כינו "Tattletale", אשר יכול להתחזות למשתמשים שנכנסו למערכת ולאסוף מידע הקשור למדיניות סיסמאות, הגדרות אבטחה, סיסמאות במטמון, פרטי דפדפן ונתוני אחסון. Sophos X-Ops מציינים במחקר כי בניגוד לגל הראשון של המבצע, Cluster Charlie עבר יותר ויותר לשימוש בכלי קוד פתוח במקום לפרוס את הנוזקות המותאמות אישית שפיתחו בגל הפעילות הראשוני.
"היינו במשחק שחמט מתמשך עם היריבים האלה. במהלך השלבים הראשונים של המבצע, Cluster Charlie פרס כלים שונים בהתאמה אישית ותוכנות זדוניות", אמר פול ג'רמילו, מנהל ציד איומים ומודיעין איומים בסופוס. "עם זאת, הצלחנו 'לשרוף' חלק גדול מהתשתית הקודמת שלהם, לחסום את כלי השליטה והבקרה (C2) שלהם ולאלץ אותם לעשות שינוי כיוון. עם זאת, המעבר שלהם לכלי קוד פתוח מדגים עד כמה מהר קבוצות התוקפים הללו יכולות להסתגל ולהישאר עקביות. נראה גם כי מדובר במגמה מתפתחת בקרב קבוצות סיניות מדינתיות. בזמן שקהילת האבטחה פועלת כדי לאבטח את המערכות הרגישות ביותר שלנו מפני התוקפים האלה, חשוב לשתף את התובנות לגבי הציר הזה".
Cluster Charlie, החולק טקטיקות, טכניקות ונהלים (TTPs) עם קבוצת האיום הסינית Earth Longzhi, היה פעיל במקור ממרץ עד אוגוסט 2023 בארגון ממשלתי בכיר בדרום מזרח אסיה. בעוד האשכול היה רדום במשך מספר שבועות, הוא הופיע מחדש בספטמבר 2023 והיה פעיל שוב לפחות עד מאי 2024. במהלך השלב השני של הקמפיין, Cluster Charlie התמקד בחדירה עמוקה יותר לתוך הרשת, התחמקות מכלי זיהוי ותגובה של נקודות קצה (EDR) ואיסוף מודיעין נוסף. בנוסף למעבר לכלי קוד פתוח, Cluster Charlie החל גם להשתמש בטקטיקות שנפרסו בתחילה על ידי Cluster Alpha ו- Cluster Bravo, מה שמרמז על כך שאותו ארגון מנהל את כל שלושת אשכולות הפעילים. Sophos X-Ops עקבה אחר הפעילות המתמשכת של Cluster Charlie במספר ארגונים אחרים בדרום מזרח אסיה.
Cluster Bravo, שחולקת TTPs עם קבוצת האיום הסינית Unfading Sea Haze, היה פעיל במקור ברשת הממוקדת רק למשך שלושה שבועות במרץ 2023. עם זאת, כוח המשימה הופיע שוב בינואר 2024, רק שהפעם הוא התמקד לפחות ב־11 ארגונים וסוכנויות אחרים באותו אזור.
"לא רק שאנחנו רואים את כל שלושת אשכולות 'ארמון הארגמן' משכללים ומתאמים את הטקטיקות שלהם, אלא שהם גם מרחיבים את הפעילות שלהם, מנסים לחדור למטרות אחרות בדרום מזרח אסיה. בהתחשב בתדירות שבה קבוצות של מדינות לאום סיניות חולקות תשתיות וכלים, והעובדה ש- Cluster Bravo ו- Cluster Charlie מתקדמים מעבר ליעד המקורי, סביר להניח שנמשיך לראות את הקמפיין הזה מתפתח – ובמקומות חדשים פוטנציאליים. אנחנו נעקוב אחרי זה מקרוב", אמר ג'רמילו.
למידע מעמיק על ציד האיומים מאחורי קמפיין ריגול סייבר זה שנמשך כמעט שנתיים, הירשמו לוובינר הקרוב " Intrigue of the Hunt: Operation Crimson Palace: Unveiling a Multi-Headed State-Sponsored Campaign " שיתקיים ב -24 בספטמבר בשעה 14:00: https://events.sophos.com/operation-crimson-palace/.
מידע נוסף
- קמפיין ריגול סייבר נגד ארגון ממשלתי בדרום מזרח אסיה במבצע ארמון ארגמן: ציד איומים חושף אשכולות רבים של פעילות בחסות המדינה הסינית המכוונת לדרום מזרח אסיה
- שלושת מקבצי פעילות האיום המעורבים במבצע "ארמון הארגמן"
- הטכניקות, הטקטיקות והנהלים (TTP) העדכניים ביותר של תוקפי סייבר בדוח Active Adversary Report לשנת 1H 2024
- האיומים הגדולים ביותר על עסקים קטנים ובינוניים בדו "ח האיומים של Sophos לשנת 2024
- השימוש באשכולות פעילות איומים לזיהוי דפוסים של פעילות זדונית
- יכולות הזיהוי והתגובה המנוהלים (MDR) והתיקון של Sophos
- Sophos X-Ops ומחקר האיומים פורץ הדרך שלה על ידי הרשמה לבלוגים של Sophos X-Ops
אודות סופוס
סופוס היא מובילה עולמית וחדשנית של פתרונות אבטחה מתקדמים להבסת התקפות סייבר, כולל שירותי זיהוי ותגובה מנוהלים (MDR) ותגובה לאירועים ופורטפוליו רחב של טכנולוגיות אבטחה לנקודות קצה, רשתות, דוא"ל וענן. כאחת מספקיות אבטחת הסייבר הגדולות ביותר, Sophos מגנה על יותר מ-600,000 ארגונים ויותר מ-100 מיליון משתמשים ברחבי העולם מפני יריבים פעילים, תוכנות כופר, פישינג, תוכנות זדוניות ועוד. השירותים והמוצרים של סופוס מתחברים דרך מסוף הניהול Sophos Central ומופעלים על ידי Sophos X-Ops, יחידת מודיעין האיומים חוצת התחומים של החברה. הבינה של Sophos X-Ops מייעלת את כל המערכת האקולוגית של אבטחת הסייבר האדפטיבית של סופוס, הכוללת אגם נתונים מרכזי הממנף מערך עשיר של ממשקי API פתוחים הזמינים ללקוחות, שותפים, מפתחים וספקי אבטחת סייבר וטכנולוגיית מידע אחרים. סופוס מספקת אבטחת סייבר כשירות לארגונים הזקוקים לפתרונות אבטחה מנוהלים במלואם. לקוחות יכולים גם לנהל את אבטחת הסייבר שלהם ישירות באמצעות פלטפורמת תפעול האבטחה של סופוס או להשתמש בגישה היברידית על ידי השלמת הצוותים הפנימיים שלהם עם השירותים של סופוס, כולל ציד ותיקון איומים. סופוס מוכרת באמצעות שותפי שיווק וספקי שירותים מנוהלים (MSP) ברחבי העולם. משרדיה הראשיים של סופוס נמצאים באוקספורד, בריטניה. מידע נוסף זמין בכתובת www.sophos.com.