Компания NCC Group и ее дочерняя компания Fox-IT опубликовали совместный отчет, посвященный активности китайской хакерской группы Chimera. Впервые об этой группировке в прошлом году рассказали эксперты ИБ-фирмы CyCraft, представившие свои выводы на конференции Black Hat 2020.
Как теперь пишут аналитики NCC Group и Fox-IT, наблюдавшие за хакерами в период с октября 2019 года по апрель 2020 года, деятельность группировки не ограничивалась атаками на тайваньских производителей полупроводников, как предполагалось ранее. Оказалось, что хакеров ничуть не меньше интересовала авиационная отрасль, причем не только в азиатских странах. В некоторых случаях атакующие успешно скрывались внутри сетей взломанных компаний до трех лет, избегая обнаружения.
Если атаки на полупроводниковую отрасль были направлены на кражу интеллектуальной собственности, то атаки на авиационную отрасль имели совсем другую цель: хакеры похищали персональные данные пассажиров (Passenger Name Records).
«Способы получения PNR-данных отличались и, вероятно, зависели от конкретной жертвы, но мы наблюдали использование ряда кастомных DLL, предназначенных для непрерывного извлечения PNR-данных из памяти систем, где такая информация обычно обрабатываются, например, с серверов бронирования рейсов», — гласит отчет.
Как правило, атаки Chimera начинались с банального сбора учетных данных, которые утекли в отрытый доступ в результате каких-либо инцидентов. Затем эти данные использовались для осуществления таргетированных атак типа credential stuffing и password spraying. То есть атакующие перебирали различные имена пользователей и пытались использовать их с одним и тем же простым, легко угадываемым паролем, надеясь таким образом обнаружить плохо защищенную учетную запись. Кроме того, хакеры злоупотребляли тем, что многие люди используют одинаковые логины и пароли для разных сайтов и сервисов.
Подобные атаки Chimera были направлены на конкретных сотрудников целевых компаний, чтобы, к примеру, скомпрометировать их почту. Проникнув в чужой почтовый ящик, хакеры искали там данные, которые помогли бы им получить доступ к корпоративным системам (Citrix, VPN и так далее).
Во внутренних сетях компаний-жертв злоумышленники действовали не спеша и обычно развертывали Cobalt Strike, который использовали для бокового перемещения по сети и взлома как можно большего количества систем. Таким способом атакующие искали IP-адреса и сведения о пассажирах. Обнаруженные данные регулярно выгружались в различные облачные сервисы, включая OneDrive, Dropbox и Google Drive (такой трафик, как правило, не вызывает подозрений и не блокируется).
В отчете экспертов не уточняется, данные о каких именно пассажирах интересовали злоумышленников в первую очередь, и какой была конечная цель этой масштабной кампании. Однако, это далеко не первый случай, когда «правительственные хакеры» атакуют авиакомпании, сети отелей и телекомы, чтобы получить сведения, которые могут использоваться для отслеживания перемещений и контактов конкретных лиц.
