FBI: Κινέζοι hackers παραβίασαν κυβερνητικά δίκτυα αξιοποιώντας χιλιάδες οικιακές συσκευές!

Σύνοψη

• Το Υπουργείο Δικαιοσύνης, η NASA, η Ομοσπονδιακή Τράπεζα (Federal Reserve) και η Γερουσία των ΗΠΑ βρέθηκαν στο επίκεντρο μίας από τις μεγαλύτερες και πιο σύνθετες επιχειρήσεις κυβερνοκατασκοπείας των τελευταίων ετών.
• Οι επιθέσεις πραγματοποιήθηκαν με τη χρήση εξειδικευμένων hacking πλατφορμών, όπως το QScan και το QTRouter, αλλά και μέσω του τεράστιου botnet Raptor Train που διαχειρίζεται η κρατικά υποστηριζόμενη ομάδα Flax Typhoon.
• Το αμερικανικό Υπουργείο Δικαιοσύνης και το FBI προχώρησαν σε άμεση κατάσχεση εκατοντάδων διαδικτυακών τομέων (domains) και servers, αποκόπτοντας την πρόσβαση των δραστών σε περισσότερες από 260.000 μολυσμένες συσκευές IoT παγκοσμίως.
• Το Πεκίνο αρνείται κατηγορηματικά κάθε εμπλοκή, ενώ Αμερικανοί αξιωματούχοι προειδοποιούν ότι οι επιθέσεις εκτελούνται πλέον μέσω ιδιωτικών εταιρειών που λειτουργούν ως εργολάβοι για λογαριασμό των κινεζικών υπηρεσιών πληροφοριών.

Η ψηφιακή αντιπαράθεση μεταξύ των ΗΠΑ και της Κίνας κλιμακώνεται με ταχύτατους ρυθμούς, καθώς οι αμερικανικές αρχές προχώρησαν πρόσφατα στην αποκάλυψη και την εξάρθρωση μιας εξαιρετικά εκτεταμένης επιχείρησης κυβερνοκατασκοπείας. 

Το αμερικανικό Υπουργείο Δικαιοσύνης ανακοίνωσε επίσημα ότι Κινέζοι hackers, οι οποίοι υποστηρίζονται από το κράτος, κατάφεραν να παραβιάσουν ή να στοχοποιήσουν μερικά από τα πιο ευαίσθητα κυβερνητικά δίκτυα της χώρας, συμπεριλαμβανομένων των συστημάτων της NASA, του ίδιου του Υπουργείου Δικαιοσύνης, της Ομοσπονδιακής Τράπεζας (Federal Reserve) και της Γερουσίας. Μέσω μιας εξαιρετικά συντονισμένης και πολυεπίπεδης νομικής και τεχνικής διαδικασίας, το FBI κατάφερε να κατασχέσει τις ψηφιακές υποδομές των επιτιθέμενων, ρίχνοντας φως στις μεθόδους που χρησιμοποιούν οι σύγχρονες ομάδες κατασκοπείας για να αποκρύψουν τα ίχνη τους στο διαδίκτυο.

Το μέγεθος της κυβερνοεπίθεσης και οι οργανισμοί που βρέθηκαν στο στόχαστρο

Οι πληροφορίες που προκύπτουν από τις ένορκες καταθέσεις των αμερικανικών διωκτικών αρχών καταδεικνύουν ένα εξαιρετικά ευρύ φάσμα στόχων, το οποίο εκτείνεται πολύ πέρα από τα στενά κυβερνητικά όρια. Εκτός από τη NASA και τη Γερουσία, οι hackers έβαλαν στο στόχαστρο το Υπουργείο Ενέργειας των ΗΠΑ, το Υπουργείο Υγείας και Ανθρωπίνων Υπηρεσιών (HHS), τα Εθνικά Ινστιτούτα Υγείας (NIH), καθώς και πολλαπλές ιδιωτικές εταιρείες που δραστηριοποιούνται τόσο στις ΗΠΑ όσο και στη Νότια Κορέα.

Οι πρόσφατες προσπάθειες παρείσφρησης δεν αποτελούν ένα μεμονωμένο περιστατικό, αλλά ένα συνεχές σχέδιο που βρίσκεται σε εξέλιξη τουλάχιστον από το 2018. Οι εισβολείς προσπάθησαν ανεπιτυχώς να αποκτήσουν πρόσβαση στα δίκτυα της NASA τον Αύγουστο του 2019 εκμεταλλευόμενοι μια ευπάθεια σε συστήματα VPN. Ωστόσο, οι επιθέσεις τους έγιναν πολύ πιο εξελιγμένες και επιτυχημένες τα επόμενα χρόνια, φτάνοντας στο σημείο να παραβιάσουν εργαστήρια του Υπουργείου Ενέργειας και εταιρείες κατασκευής συστημάτων ασφαλείας κατά τη διάρκεια του 2024.

Η ανατομία των botnets και τα εργαλεία QScan και QTRouter

Για να μπορέσουν να πραγματοποιήσουν αυτές τις μεγάλης κλίμακας διεισδύσεις παραμένοντας παράλληλα κάτω από το ραντάρ των συστημάτων ανίχνευσης, οι επιτιθέμενοι ανέπτυξαν και χρησιμοποίησαν ειδικές πλατφόρμες όπως το QScan και το QTRouter. Αυτά τα εργαλεία, σε συνδυασμό με το διαβόητο botnet που έλαβε την ονομασία "Raptor Train", επέτρεψαν στους hackers να δρομολογούν την κακόβουλη δραστηριότητα τους μέσα από χιλιάδες ανυποψίαστες συσκευές.

Το Raptor Train αποτελεί ένα από τα μεγαλύτερα δίκτυα μολυσμένων συσκευών που έχουν καταγραφεί, αποτελούμενο αποκλειστικά από συσκευές που βρίσκονται σε μικρά γραφεία ή οικιακά περιβάλλοντα και συσκευές του Internet of Things (IoT). Οι ερευνητές ασφαλείας εντόπισαν ότι οι hackers εκμεταλλεύτηκαν ευπάθειες σε routers, κάμερες IP, ψηφιακά καταγραφικά (DVR) και συστήματα αποθήκευσης δικτύου (NAS) από γνωστούς κατασκευαστές όπως οι ASUS, TP-LINK, Zyxel, Synology και Hikvision. Το botnet, το οποίο έφτασε να αριθμεί περισσότερες από 260.000 ενεργές συσκευές μέχρι τα μέσα του 2024, βασίστηκε σε ένα προσαρμοσμένο κακόβουλο λογισμικό ονόματι "Nosedive", το οποίο εκτελείται αποκλειστικά στη μνήμη της συσκευής και αποτελεί παραλλαγή του γνωστού Mirai. Η συντριπτική πλειονότητα αυτών των συσκευών βρισκόταν γεωγραφικά διασκορπισμένη σε Βόρεια Αμερική, Ευρώπη και Ασία, μετατρέποντας τον εξοπλισμό καθημερινών χρηστών σε οχήματα συγκάλυψης κρατικής κατασκοπείας.

Οι κρατικά υποστηριζόμενες ομάδες και οι εταιρείες-βιτρίνες του Πεκίνου

Το αμερικανικό Υπουργείο Δικαιοσύνης υπήρξε ιδιαίτερα αποκαλυπτικό όσον αφορά την ταυτότητα των δραστών. Οι πλατφόρμες και τα εργαλεία αποδίδονται άμεσα σε επιχειρήσεις που εδρεύουν στην Κίνα, όπως η Nanjing Xinjiuwei Network Technology Company και η Integrity Technology Group. Αυτές οι εταιρείες λειτουργούν πρακτικά ως εργολάβοι ή «βιτρίνες» για τις επίσημες υπηρεσίες πληροφοριών της Κίνας, περιλαμβάνοντας το Υπουργείο Κρατικής Ασφάλειας και τον Λαϊκό Απελευθερωτικό Στρατό.

Η ομάδα που βρίσκεται πίσω από το botnet Raptor Train είναι γνωστή στην κοινότητα της κυβερνοασφάλειας ως Flax Typhoon (ή Ethereal Panda). Η τακτική της χρησιμοποίησης ιδιωτικών εταιρειών τεχνολογίας για την εκτέλεση κρατικών επιθέσεων αποτελεί πλέον τον κανόνα για τις κινεζικές επιχειρήσεις στον κυβερνοχώρο. Ο Dakota Cary, αναλυτής σε θέματα Κίνας στην εταιρεία SentinelOne, επισημαίνει χαρακτηριστικά πως κατά τη διάρκεια της τελευταίας δεκαετίας, ο αριθμός των εταιρειών που προσφέρουν εξειδικευμένες επιθετικές υπηρεσίες στο διαδίκτυο έχει αυξηθεί εκθετικά, καθιστώντας εξαιρετικά δύσκολη την άμεση νομική απόδοση ευθυνών από πλευράς κρατών.

Η επιχείρηση αναχαίτισης από το FBI και η αποτυχημένη αντεπίθεση των hackers

Η αντίδραση των αμερικανικών αρχών απέναντι σε αυτή τη συνεχή απειλή υπήρξε δραστική. Το FBI προχώρησε στην κατάληψη της ψηφιακής υποδομής που ήλεγχαν οι hackers. Αναλαμβάνοντας τον έλεγχο των servers διοίκησης και ελέγχου, οι αρχές μπόρεσαν να στείλουν εξειδικευμένες εντολές απενεργοποίησης του κακόβουλου λογισμικού στις εκατοντάδες χιλιάδες μολυσμένες συσκευές, διακόπτοντας τη σύνδεσή τους με το botnet.

Οι ενορχηστρωτές της ομάδας Flax Typhoon αντιλήφθηκαν την επιχείρηση των αρχών και επιχείρησαν να εμποδίσουν την αναχαίτιση. Εξαπέλυσαν μια μαζική επίθεση DDoS εναντίον των servers που χρησιμοποιούσε το ίδιο το FBI για την εκκαθάριση του δικτύου. Ωστόσο, η προσπάθεια των δραστών απέτυχε, επιτρέποντας στις αμερικανικές αρχές να ολοκληρώσουν επιτυχώς το έργο τους και να καθαρίσουν ένα μεγάλο μέρος του μολυσμένου διαδικτυακού εξοπλισμού.

Η επίσημη θέση της Κίνας, μέσω της πρεσβείας της στην Ουάσιγκτον, παραμένει σταθερά αρνητική. Οι εκπρόσωποι του Πεκίνου δηλώνουν ότι η κυβέρνηση αντιτίθεται σθεναρά σε όλες τις μορφές κυβερνοεπιθέσεων και κατηγορούν τις ΗΠΑ ότι χρησιμοποιούν θέματα κυβερνοασφάλειας με σκοπό να δυσφημίσουν την Κίνα και να επιβάλουν διακρίσεις στις κινεζικές επιχειρήσεις. Παρά τις διπλωματικές διαψεύσεις, τα τεχνικά δεδομένα και οι συνεχείς ανακαλύψεις υποδομών καταδεικνύουν έναν εξαιρετικά καλά χρηματοδοτούμενο μηχανισμό που έχει την ικανότητα να απειλεί τις κρίσιμες λειτουργίες δυτικών κυβερνήσεων και οργανισμών.