China-verbundene Hacker nutzen kritische Cisco-Schwachstelle für Angriffe auf kanadische Telekommunikation

OTTAWA / LONDON (IT BOLTWISE) – Die jüngsten Cyberangriffe auf kanadische Telekommunikationsunternehmen werfen ein Schlaglicht auf die anhaltende Bedrohung durch staatlich unterstützte Hackergruppen, die weltweit operieren.

Die jüngsten Cyberangriffe auf kanadische Telekommunikationsunternehmen haben die Aufmerksamkeit auf die anhaltende Bedrohung durch staatlich unterstützte Hackergruppen gelenkt, die weltweit operieren. Die kanadische Cybersicherheitsbehörde und das FBI haben eine Warnung herausgegeben, dass die China-verbundene Gruppe Salt Typhoon eine kritische Schwachstelle in der Cisco IOS XE Software ausnutzt, um Zugang zu Netzwerkkonfigurationen zu erhalten. Diese Schwachstelle, die mit CVE-2023-20198 identifiziert wurde, hat einen CVSS-Score von 10,0, was ihre Schwere unterstreicht.

Die Angreifer haben es geschafft, Konfigurationsdateien von drei Netzwerkgeräten eines kanadischen Telekommunikationsunternehmens zu extrahieren und mindestens eine Datei zu modifizieren, um einen Generic Routing Encapsulation (GRE) Tunnel einzurichten. Dies ermöglicht es ihnen, den Datenverkehr im Netzwerk zu überwachen und möglicherweise sensible Informationen zu exfiltrieren. Die Namen der betroffenen Unternehmen wurden nicht bekannt gegeben, was die Unsicherheit über das volle Ausmaß der Angriffe erhöht.

Die Bedrohung geht jedoch über die Telekommunikationsbranche hinaus. Die Behörden warnen, dass die Kompromittierung kanadischer Geräte den Angreifern ermöglichen könnte, Informationen zu sammeln, die als Hebel für weitere Angriffe auf andere Netzwerke genutzt werden könnten. In einigen Fällen beschränkten sich die Aktivitäten der Angreifer wahrscheinlich auf die Netzwerkerkundung, was jedoch ein Vorläufer für umfassendere Angriffe sein könnte.

Diese Entwicklungen stehen im Einklang mit früheren Berichten von Recorded Future, die die Ausnutzung von CVE-2023-20198 und CVE-2023-20273 zur Infiltration von Telekommunikations- und Internetunternehmen in den USA, Südafrika und Italien dokumentierten. Die Angreifer nutzten diese Schwachstellen, um GRE-Tunnel für langfristigen Zugang und Datenexfiltration einzurichten.

Parallel dazu hat das britische National Cyber Security Centre (NCSC) zwei Malware-Familien identifiziert, die Fortinet-Geräte angreifen. Diese Malware, bekannt als SHOE RACK und UMBRELLA STAND, zielt auf FortiGate 100D Firewalls ab und ermöglicht den Angreifern, Remote-Shell-Zugriff und TCP-Tunneling durch kompromittierte Geräte zu erhalten.

Interessanterweise basiert SHOE RACK teilweise auf einem öffentlich verfügbaren Tool namens reverse_shell, das von einer China-nahen Bedrohungsgruppe namens PurpleHaze für die Entwicklung eines Windows-Implantats namens GoReShell umfunktioniert wurde. Es bleibt unklar, ob diese Aktivitäten miteinander in Verbindung stehen. Das NCSC hat Ähnlichkeiten zwischen UMBRELLA STAND und COATHANGER festgestellt, einem Backdoor, das zuvor von chinesischen staatlich unterstützten Hackern bei einem Angriff auf ein niederländisches Militärnetzwerk eingesetzt wurde.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!