Ciberseguridad: una vigilancia de cinco años sobre los ataques de piratas informáticos chinos dirigidos a los cortafuegos de Sophos

En términos de ciberseguridad, la empresa británica Sophos pasó cinco años siguiendo de cerca las actividades de los grupos de hackers afiliados al Estado chino. Estos ciberdelincuentes han desplegado técnicas sofisticadas para atacar cortafuegos de Sofos. La investigación reveló el uso de redes de bots y de malware, al tiempo que destaca la tacticas, tecnicas y procedimientos (TTP) de estos grupos, incluidos APT31, APT41 y Volt Typhoon. En el centro de esta investigación, los dispositivos de red parecen ser el punto de entrada preferido por estos piratas informáticos, que explotan vulnerabilidades críticas y, a menudo, sistemas al final de su vida útil. Sophos ha implementado sistemas de monitoreo para anticipar y frustrar estas amenazas, lo que ilustra la importancia de las soluciones de seguridad avanzadas, comoBDU, EL XDR y requisitos de monitoreo continuo en un panorama de amenazas en constante cambio.

Desde hace cinco años, la empresa británica Sophos libra una feroz lucha contra los ciberdelincuentes asociados al Estado chino. Los piratas informáticos han aprovechado las vulnerabilidades de seguridad de los firewalls de Sophos para llevar a cabo operaciones de espionaje a gran escala. El incidente inicial, que involucró la instalación remota de malware, marcó el comienzo de una compleja búsqueda de grupos de hackers chinos. Los resultados de esta investigación llevaron al descubrimiento de vulnerabilidades críticas en dispositivos de red y a una colaboración de investigación en Chengdu. A continuación se ofrece una descripción general de las interdependencias y estrategias identificadas por Sophos.

El descubrimiento de actividades de ciberespionaje

Sophos ha publicado un informe que detalla cómo los piratas informáticos, respaldados por el gobierno chino, llevaron a cabo acciones de vigilancia y ciberespionaje. En 2018 se detectó una intrusión dentro de Cyberoam, filial de Sophos ubicada en India. Los piratas informáticos utilizaron un troyano de acceso remoto para obtener acceso a los sistemas, y lo que inicialmente parecía un incidente menor resultó ser obra de un rootkit complejo y previamente desconocido.

Operación de infraestructuras en la nube

Los ciberdelincuentes han desarrollado métodos innovadores para comprometer las estructuras de la nube, incluida la explotación de un servicio de AWS mal configurado. Los investigadores de Sophos creen que esto representó un esfuerzo inicial para recopilar datos para el desarrollo posterior de malware dirigido a dispositivos informáticos. red.

Análisis en profundidad de los ciberdelincuentes

Dos años después de los primeros ataques, Sophos intensificó su investigación cuando multitud de firewalls en todo el mundo fueron infectados con redes de bots. Los piratas informáticos han utilizado vulnerabilidades de día 0 para infiltrarse en redes WAN, acceder a datos confidenciales e implementar malware en redes locales.

La conexión de Sichuan

La investigación llevó a Sophos a una comunidad de investigación en Sichuan, en la que participaron instituciones de Chengdu, como “Sichuan Silence Information Technology” y la Universidad de Ciencia y Tecnología Electrónica. Estas entidades fueron identificadas durante un análisis de los vínculos con subcontratistas que llevan a cabo operaciones ofensivas para el gobierno chino.

Infraestructura y objetivos específicos

Sophos ha estado siguiendo la progresión de estos ataques y ha observado un cambio estratégico a partir de 2021 con ofensivas muy específicas. Los piratas informáticos han atacado infraestructura nuclear, puertos aéreos, agencias militares e infraestructura energética en el sudeste asiático. Esto expuso conexiones a grupos como APT31, APT41 y Volt Typhoon, conocidos por llevar a cabo ataques a productos Cyberoam e infiltrarse en infraestructuras críticas en los Estados Unidos.

Dispositivos de red: un punto vulnerable

El informe de Sophos destaca la vulnerabilidad de los dispositivos de red a los ciberataques. Esto quedó de manifiesto con la eliminación por parte del FBI de una botnet china de 260.000 dispositivos utilizada para espiar a agencias gubernamentales y otras instituciones. Los dispositivos al final de su vida útil, que ya no reciben actualizaciones de seguridad, representan un punto de entrada ideal para los piratas informáticos.