⁣🇨🇳 Hacker cinesi del gruppo BlackTech attaccano aziende negli Stati Uniti e in Giappone sfruttando router

Le agenzie di sicurezza informatica del Giappone e degli Stati Uniti hanno lanciato un avvertimento riguardo agli attacchi orchestrati da un gruppo di hacker sostenuti dallo stato cinese. Questi attacchi mirano a compromettere silenziosamente i router di filiali aziendali e a utilizzarli come punti di ingresso per accedere alle reti di varie società nei due paesi.

Il gruppo di hacker, noto come BlackTech, è stato identificato dalla National Security Agency (NSA) degli Stati Uniti, dal Federal Bureau of Investigation (FBI), dalla Cybersecurity and Infrastructure Security Agency (CISA), dalla Japan National Police Agency (NPA) e dal Japan National Center of Incident Readiness and Strategy for Cybersecurity (NISC) come un attore informatico malintenzionato.

BlackTech ha dimostrato abilità nel modificare il firmware dei router senza essere rilevato e sfruttare le relazioni di fiducia tra i router per muoversi dalle filiali internazionali alle sedi centrali in Giappone e negli Stati Uniti, che rappresentano gli obiettivi principali. I settori presi di mira includono il governo, l'industria, la tecnologia, i media, l'elettronica, le telecomunicazioni e le entità che supportano le forze armate degli Stati Uniti e del Giappone.

BlackTech ha una lunga storia di operazioni contro obiettivi in Asia orientale, in particolare Taiwan, Giappone e Hong Kong, risalente almeno al 2007. Questo gruppo è stato associato a una serie di backdoor, tra cui BendyBear, BIFROSE, Consock, KIVARS, PLEAD, TSCookie, XBOW e Waterbear.

Una delle loro strategie tipiche coinvolge l'invio di e-mail di spear-phishing con allegati contenenti malware progettato per raccogliere dati sensibili. L'attacco si basa spesso sull'uso di router compromessi come server di comando e controllo (C&C).

Le agenzie di sicurezza sottolineano che BlackTech ha la capacità di sviluppare malware personalizzato e meccanismi di persistenza su misura per infiltrarsi nei dispositivi di rete, spesso modificando il firmware per mantenere la presenza nascosta.
In altre parole, modificano il firmware per incorporare una backdoor SSH, che consente loro di mantenere l'accesso segreto ai router tramite l'uso di pacchetti speciali. Questo approccio non si limita ai router Cisco, ma potrebbe essere utilizzato su altre apparecchiature di rete.
È importante notare che il vettore di accesso principale per questi attacchi coinvolge credenziali amministrative deboli o rubate, e non sono state riscontrate evidenze di sfruttamento attivo di difetti di sicurezza nei software coinvolti.

Per prevenire tali attacchi, i difensori della rete dovrebbero monitorare attentamente i dispositivi di rete per individuare download non autorizzati di bootloader e immagini firmware, nonché riavvii anomali. Dovrebbero anche prestare attenzione al traffico inusuale destinato ai router, inclusi tentativi di accesso tramite SSH non autorizzati.