Ataki chińskiej grupy na infrastrukturę telekomunikacyjną

UAT-7290 jest to grupa typu Advanced Persistent Threat (APT) powiązana z chińskim środowiskiem operacyjnym. Jej działalność ma swoje początki w 2022 roku i wyróżnia się różnorodnością narzędzi oraz technik ataku. Jej głównym celem są operatorzy telekomunikacyjni o wysokiej wartości strategicznej.

Z ustaleń badaczy wynika, że grupa prowadzi szeroko zakrojone i długotrwałe rozpoznanie wybranych organizacji jeszcze przed właściwą fazą włamań.

UAT-7290 wykorzystuje exploity typu one-day oraz ukierunkowane ataki brute force na usługi SSH w celu kompromitacji publicznie dostępnych urządzeń brzegowych, co pozwala uzyskać wstępny dostęp do środowiska ofiary, a następnie eskalować uprawnienia w przejętych systemach.

Malware na systemy Linux

Jak wynika z raportu Cisco Talos, grupa wykorzystuje zestaw niestandardowych i otwarto-źródłowych narzędzi malware, przeznaczonych do ataków na urządzenia sieciowe pracujące w systemach Linux. Wśród nich eksperci identyfikują przede wszystkim trzy komponenty:

• RushDrop – program, który rozpoczyna infekcję i instaluje kolejne złośliwe elementy.
• DriveSwitch – uruchamia główny złośliwy program w zainfekowanym komputerze.
• SilentRaid – ukryty program, który pozostaje w systemie na stałe. Umożliwia atakującym zdalny dostęp do komputera, wykonywanie poleceń oraz różne działania, takie jak przesyłanie plików czy przekierowywanie połączeń sieciowych.

Co istotne, UAT-7290 wykorzystuje mechanizmy, które wykraczają poza prostą inwigilację.

Talos podkreśla, że grupa buduje operacyjną infrastrukturę przekaźnikową (ORB – Operational Relay Box), która umożliwia nie tylko prowadzenie własnych operacji szpiegowskich, ale może być również wykorzystywana przez inne chińskie podmioty do prowadzenia cyberataków.

W praktyce oznacza to, że UAT-7290 nie tylko uzyskuje dostęp do systemów ofiar, ale także wspiera kolejne etapy ataków prowadzonych przez inne grupy.

Dla sektora telekomunikacyjnego oraz operatorów infrastruktury krytycznej jest to wyraźny sygnał ostrzegawczy. Skuteczna odporność na zagrożenia powinna opierać się na ciągłym monitoringu, szybkiej reakcji na nowe podatności oraz zrozumieniu taktyk przeciwnika.