Kinijos šnipai trejus metus slėpėsi telekomunikacijų tinkluose: kaip jie tai darė

Telekomunikacijų tinklai retai kada atrodo pažeidžiami — jie yra infrastruktūros stuburas, kuriuo kasdien naudojasi milijardai žmonių. Tačiau būtent todėl ši sritis tapo viena patraukliausių taikinių kibernetiniams šnipams, kurie čia sukasi jau ne vieną mėnesį, o daugiau nei trejus metus. Ryšio specialistai pastaruoju metu pranešė apie itin ilgalaikę ir gerai organizuotą Kinijos šnipinėjimo kampaniją prieš telekomunikacijų tiekėjus Azijos—Ramiojo vandenyno ir Artimųjų Rytų regionuose.

Kampaniją vykdo grėsmės grupuotė, kurią tyrėjai vadina Calypso arba Red Lamassu. Jos naudojama Linux kenkėjiška programa pervadinta „Showboat“. Šis įrankis skirtas ne tik duomenims rinkti, bet ir paslėptai veikti aukų sistemose kuo ilgiau. Jis gali siųsti aukos kompiuterio duomenis į valdymo serverį, atsisiųsti arba išsiųsti failus, slėpti savo procesą ir net veikti kaip SOCKS5 tarpinis serveris — tai leidžia užpuolikams persikelti į kitas tinklo dalis, nepaliekant beveik jokių pėdsakų.

Tyrėjai iš Lumen „Black Lotus Labs“ ir „PwC Threat Intelligence“ nustatė, kad grupuotė siekė imituoti savo taikinius sukurdama kelis ryšio tematikos interneto domenus. Windows sistemoms šie šnipai naudoja kitą kenkėjiškąją programą „JFMBackdoor“, kuri aptinkama per vadinamąjį DLL šoninio pakrovimo (sideloading) procesą. Pažeidžiama sistema tampa ne tik klausos įrenginiu, bet ir tiltu į organizacijos vidų.

Duomenys rodo, kad ši grupuotė veikia pagal decentralizuotą modelį: skirtingos Kinijai artimos grupės dalijasi ta pačia programine įranga, tačiau taiko skirtingas aukas skirtingose teritorijose.