隐身模式中国网络间谍活动者不断发展策略以避免被发现

asmani000 · 发表于 2023-8-30 11:59:11

Mandiant Intelligence 正在追踪中国网络间谍活动越来越多地利用初始访问和妥协后策略的几种方式，旨在最大限度地减少被发现的机会。具体来说，该分析强调了中国威胁组织利用安全、网络和虚拟化软件中的零日漏洞，以及针对路由器和其他方法来中继和伪装受害网络外部和内部的攻击者流量。我们充满信心地评估，中国网络间谍组织正在使用这些技术来避免检测并使归因复杂化。

中国网络间谍检测规避策略
图1：中国网络间谍检测规避策略
这篇文章建立在之前 B2B 电子邮件列表 的分析基础上，Mandiant 评估称，在 2010 年代中期军事和情报重组之后的几年里，中国网络间谍活动的策略已经稳步发展，变得更加敏捷、更加隐秘和复杂。该研究将越来越多地使用离地 (LotL) 技术、软件供应链妥协以及公开可用、无文件或模块化恶意软件作为隐秘性增强的证据。

中国专注于网络、安全和虚拟化软件
Mandiant Intelligence 高度自信地评估，2021 年和 2022 年中国网络间谍零日攻击主要集中在安全、网络和虚拟化技术，因为针对这些设备在获取和保留对受害者网络的秘密访问方面具有多种战术优势。

例如，安全和网络设备是“边缘设备”，这意味着它们可以通过互联网访问。成功利用该漏洞后，攻击者无需人工干预即可实现初始访问，从而减少检测到的机会。只要漏洞仍未被发现，威胁行为者就可以重复使用它来访问其他受害者，或重新建立对目标系统的访问。此外，边缘设备和虚拟化软件都难以监控，并且可能不支持端点检测和响应（EDR）解决方案或检测修改或收集取证图像的方法，从而进一步降低了检测的可能性并使归因变得复杂。

最近的两项活动体现了中国威胁行为者用来最大化隐秘性的著名策略，包括但不限于零日利用。

UNC3886 在针对硬目标的复杂操作中烧毁了两个零日漏洞
2022 年，Mandiant调查了一些事件，其中涉嫌中国网络间谍活动的 UNC3886 使用多个攻击路径和两个零日漏洞在目标组织中建立持久性并最终获得对虚拟化环境的访问权限。UNC3886 主要针对美国和亚洲的国防工业基础 (DIB)、技术和电信组织。

UNC3886 采取了非常措施，以确保在受害者环境中不被发现。攻击者将其在网络上的存在限制为 Fortinet 安全设备和 VMware 虚拟化技术、设备和平台，而这些设备和平台传统上缺乏 EDR 解决方案。该组织的自定义恶意软件和利用优先规避日志和安全控制，例如，使用默认情况下不记录的非传统协议（VMCI 套接字），并且在虚拟机管理程序和来宾虚拟机 (VM) 之间交互没有安全限制。UNC3886 还清除和修改了日志，并在启动时禁用文件系统验证，以避免被检测到。

威胁行为者使用了旨在与 Fortinet 设备交互的恶意软件系列，包括 THINCRUST、CASTLETAP、TABLEFLIP 和 REPTILE。UNC3886 利用路径遍历漏洞 CVE-2022-41328 覆盖通常受限制的系统目录中的合法文件（图 2）。
通过访问目标组织的 Fortinet 设备，威胁参与者与 VMware vCenter 服务器进行交互，并利用恶意vSphere 安装捆绑包（“VIB”）在 ESXi 虚拟机管理程序上安装自定义后门 VIRTUALPITA 和 VIRTUALPIE。UNC3886利用ESXi 主机上的身份验证绕过漏洞 CVE-2023-20867 来允许在来宾虚拟机上执行特权命令，而不会在来宾虚拟机上生成其他日志。