Per FireEye dietro l'hack di Pulse Secure VPN c'è il governo cinese

Ad aprile sono stati scoperti una serie di attacchi che hanno interessato i dispositivi Pulse Secure VPN. Le analisi hanno mostrato che gli attaccanti hanno sfruttato una serie di vulnerabilità che hanno consentito agli hacker di violare i sistemi di autenticazione, anche a più fattori. Se alcuni di questi bachi erano noti, uno è risultato inedito: CVE-2021-22893. Da subito il dito è stato puntato su attori provenienti dalla Cina e, dopo analisi più approfondite, Fireeye Mandiant conferma un legame fra questi attaccanti e le autorità cinesi.

16 famiglie di malware ideate per infettare i dispositivi VPN Pulse Secure

Inizialmente, le indagini di Fireeye avevano individuato 12 famiglie di malware utilizzate per la compromissione di Pulse Secure VPN, malware usati da vari gruppi, che facevano presupporre che potessero esserci differenti gruppi dietro gli attacchi. Analisi più approfondite, hanno rilevato altre quattro famiglie - BLOODMINE, BLOODBANK, CLEANPULSE e RAPIDPULSE - portando il totale a 16. 

Il sospetto è che l'attività di spionaggio sia stata portata avanti dai gruppi UNC2630 e UNC2717, che supportano le attività delle autorità cinesi. Non è un caso che le aziende colpite dallo spionaggio operino in settori verticali legati agli obiettivi strategici del 14th Five Year Plan.

Fireeye Mandiant non ha potuto osservare direttamente alcuna attività di esfiltrazione dati, pur sottolineando che ci siano evidenze di furto di dati. A quanto riporta il gruppo di ricercatori, le attività di cyberspionaggio portate avanti dalla potenza mondiale dimostrano una certa propensione per il rischio di incidenti diplomatici: queste operazioni, infatti, rappresentano una violazione dell'accordo stretto fra Obama e Xi Jinping. 

Dalle indagini risulta che gli aggressori hanno cercato di nascondersi cancellando le tracce della loro presenza ma, almeno in un caso, non hanno rimosso il modulo di persistenza, che consente loro di poter accedere nuovamente al sistema violato.