Китайские хакеры взломали сети телеком-компаний Charter и Windstream

Государственная хакерская группировка Salt Typhoon, якобы связанная с Китаем, продолжает компрометацию американских телекоммуникационных компаний. Вслед за взломами AT&T, Verizon и Lumen, подтверждёнными 30 декабря, новые атаки затронули Charter Communications, Consolidated Communications и Windstream.

Эти кибератаки ставят под угрозу конфиденциальность данных пользователей, в том числе высокопоставленных лиц, а также вызывают обеспокоенность со стороны властей США. Рассмотрим детали инцидента, применённые техники атак и возможные меры защиты.

Масштаб взломов: что известно

По данным властей США, после компрометации сетей AT&T, Verizon и Lumen хакеры Salt Typhoon получили доступ к:

• текстовым сообщениям;
• голосовой почте;
• телефонным звонкам целевых лиц;
• информации о прослушивании телефонных разговоров, проводимых правоохранительными органами США.

Дополнительные сведения о взломе Charter, Consolidated и Windstream раскрыл Wall Street Journal. Однако сами компании отказались комментировать ситуацию в ответ на запрос BleepingComputer.

Энн Нойбергер, заместитель советника по национальной безопасности Белого дома по кибер- и новым технологиям, заявила 27 декабря, что хакеры Salt Typhoon взломали не менее девяти американских телекоммуникационных компаний. Однако остаётся неясным, входят ли Charter, Consolidated и Windstream в этот список или расширяют его. По её словам, аналогичные атаки были зафиксированы и в десятках других стран.

Техники взлома и методы атак

Группировка Salt Typhoon известна применением сложных атак на сетевую инфраструктуру с целью установления долговременного присутствия. Среди возможных техник атак в данном случае могли быть использованы:

Группировка Salt Typhoon известна применением сложных атак на сетевую инфраструктуру с целью установления долговременного присутствия. Среди возможных техник атак в данном случае могли быть использованы:

1. Эксплуатация уязвимостей в сетевом оборудовании
   • Взлом периметровых устройств (маршрутизаторов, межсетевых экранов).
   • Использование нулевых дней или известных, но не закрытых уязвимостей.
2. Компрометация учётных данных и эксплуатация недостатков аутентификации
   • Брутфорс и подбор паролей.
   • Краденые или утёкшие аутентификационные данные.
   • Атаки на слабые механизмы многофакторной аутентификации (MFA).
3. Развёртывание вредоносного ПО для скрытого присутствия
   • Использование бэкдоров, которые позволяют сохранить доступ к сети после первичного взлома.
   • Скрытые вредоносные процессы для перехвата данных и коммуникаций.
4. Атаки на систему управления сетевой инфраструктурой (NMS)
   • Захват контроля над системами мониторинга и управления сетью.
   • Изменение конфигураций для скрытия следов присутствия.

Глобальные тенденции и риски

Взломы телекоммуникационных компаний указывают на серьёзные глобальные риски:

• Рост атак на критическую инфраструктуру. Государственные хакерские группировки целенаправленно атакуют поставщиков связи для долгосрочного шпионажа и кибершпионажа.
• Фокус на перехват данных. Доступ к телефонным звонкам, SMS и голосовой почте позволяет хакерам отслеживать действия целевых лиц, включая чиновников, бизнесменов и военных.
• Повышение сложности атак. Использование сложных техник скрытого присутствия указывает на возросший уровень подготовки группировки.

Меры защиты и рекомендации

После серии взломов агентство CISA рекомендовало высокопоставленным правительственным чиновникам использовать сквозное шифрование в мессенджерах, таких как Signal, для минимизации риска перехвата сообщений.

Кроме того, CISA выпустило руководство для инженеров и администраторов телеком-компаний, включающее:

• Немедленное обновление программного обеспечения сетевых устройств.
• Внедрение строгой аутентификации (FIDO2, аппаратные токены).
• Мониторинг аномального трафика и активности в сетях.
• Повышение осведомлённости сотрудников о фишинговых атаках.

Взлом телекоммуникационных компаний Charter, Windstream и других организаций демонстрирует высокую угрозу со стороны хакерских группировок, действующих в интересах государств. Используемые ими методы позволяют не только проникать в сети, но и сохранять присутствие в течение длительного времени.

Защита телеком-инфраструктуры требует комплексного подхода, включающего мониторинг сетевого трафика, обновление критического ПО и усиление механизмов аутентификации.