Chińscy hakerzy latami kontrolowali systemy TeamViewera – i nie tylko

dodał 16 września 2020 o 22:55 w kategorii Włamania  z tagami: • • • • • •
Chińscy hakerzy latami kontrolowali systemy TeamViewera – i nie tylko

Grupę APT41 od dawna podziwialiśmy za ataki na CCleanera czy Asusa, w których infekowane były miliony komputerów tylko po to, by dopaść kilka stacji. Najnowszy akt oskarżenia pokazuje jednak, że widzieliśmy tylko wąski wycinek ich działalności.

Amerykański Departament Sprawiedliwości opublikował dzisiaj akt oskarżenia przeciwko chińskim hakerom, stanowiącym część grupy znanej jako APT41 lub Winnti/Barium. Polecamy lekturę całości, ponieważ my skupimy się tylko na wątkach najciekawszych z naszego punktu widzenia. Opuścimy na przykład całą sekcję o hakowaniu producentów gier – a jest naprawdę obszerna. Co zatem jest ciekawego? Wyróżniliśmy dwa wątki.

Zhakowali TeamViewera, by hakować innych

To, że APT41 dysponowało loginami i hasłami użytkowników TeamViewera wiadomo było od około roku dzięki świetnemu raportowi firmy FireEye. Dopiero akt oskarżenia pokazuje jednak, jaka była skala inwazji w infrastrukturze TeamViewera. Firma, określona w dokumencie jako Electronic Service Provider #1 (ECS #1), dała się zhakować co najmniej już w czerwcu 2015 a przestępcy utrzymywali swój dostęp co najmniej do lutego 2017. Do tego z wykradzionych danych dostępowych korzystali dużo dłużej. Włamywacze zainfekowali dziesiątki komputerów w firmie oferującej TeamViewera, ukradli kod źródłowy i certyfikaty służące do podpisywania aplikacji oraz dane logowania klientów firmy.

Włamanie do TeamViewera było dla hakerów niewyczerpanym źródłem dalszych inspiracji. Przechwycone czaty przestępców pokazują, jak przeszukiwali bazy firm giełdowych, następnie ustalali ich adresy domenowe i przeszukiwali bazę TeamViewera pod kątem loginów w tych domenach, by uzyskać dostęp do interesujących ich celów.

Popularny szyfrowany komunikator używany w 200 krajach

Innym, niesamowicie ciekawym sukcesem włamywaczy jest podmiot nazwany ECS #11, opisywany jako „dostawca usług telekomunikacyjnych, działający w USA, Europie, Azji oraz w innych miejscach”, a także „twórca i dystrybutor popularnej platformy szyfrowanej komunikacji”. Zanim spróbujemy ustalić, o jaki produkt chodzi, warto wskazać, że przestępcy posiadali dostęp do jego infrastruktury od marca 2015 do co najmniej stycznia 2020. W trakcie tych ataków nie tylko uzyskali dostęp do kodu źródłowego, ale także do danych milionów użytkowników tego komunikatora. Według aktu oskarżenia przeprowadzili 4 miliony wyszukiwań danych osobowych w infrastrukturze ofiary.

Co wiemy o zaatakowanej firmie? Podsumujmy:

  • w marcu 2015 był to już globalny, popularny komunikator,
  • konta użytkowników były powiązane z numerami telefonów,
  • w Rosji miał więcej niż 700 000 użytkowników (bo dane osobowe tylu wykradziono),
  • w Birmie miał co najmniej 268 000 użytkowników,
  • ponad 100 000 użytkowników miał w Egipcie, Wietnamie, Algierii, Filipinach i na Ukrainie,
  • miał użytkowników w 200 krajach.

Trudno ustalić, o jaką aplikację może chodzić. Od czasu likwidacji telegramów liczba potencjalnych kandydatów jest zbyt duża.

To oczywiście nie koniec

Lista celów APT41 jest imponująca, a jej operatorzy, choć zidentyfikowani, nie zostali zatrzymani. Historię ich niektórych poczynań znajdziecie w poniższych artykułach (wspominaliśmy już, że ich lubimy, prawda?):

Akt oskarżenia ukrywa także wiele innych smaczków (np. kim może być globalna szwedzka sieć detaliczna, w której włamywacze borykali się ze zdobyciem uprawnień administratora domenowego lub w których grach nabijali salda kont wybranych graczy). Coś czujemy, że to jeszcze nie koniec „chińskich rewelacji”.

Podobne wpisy