Allierade säkerhetsmyndigheter varnar för kinesiska hemliga hackernätverk i vanliga routrar

Kinesiska hackare bygger hemliga nätverk via vanliga routrar

Säkerhetsmyndigheter från USA, Storbritannien och tio andra länder har utfärdat en gemensam varning om en omfattande förändring i kinesiska hackares tillvägagångssätt. Istället för att använda dedikerad infrastruktur har de börjat bygga stora, hemliga nätverk som utnyttjar komprometterade vardagliga enheter för att genomföra attacker.

Förändring i kinesiska hackares metoder

Enligt den gemensamma varningen har kinesiska cyberaktörer under de senaste åren radikalt ändrat sina taktiker, tekniker och procedurer (TTP). De har gått från att använda enskilt anskaffad infrastruktur till att skapa externa, storskaliga nätverk av komprometterade enheter.

"Under de senaste åren har det skett en betydande förändring i de taktiker, tekniker och procedurer som kinesiska cyberaktörer använder. De har övergått från att använda enskild infrastruktur till att utnyttja externa, storskaliga nätverk av komprometterade enheter."

Medverkande myndigheter och omfattningen av hotet

Varningen har utfärdats av flera ledande säkerhetsmyndigheter, däribland:

• USA:s Cybersecurity and Infrastructure Security Agency (CISA)
• National Security Agency (NSA)
• FBI
• Storbritanniens National Cyber Security Centre (NCSC)
• Motsvarande myndigheter från Australien, Kanada, Tyskland, Nederländerna, Nya Zeeland, Japan, Spanien och Sverige

Enligt varningen har flera hemliga nätverk redan skapats och uppdateras kontinuerligt. Dessa nätverk kan användas av flera olika aktörer samtidigt och består främst av komprometterade routrar för små kontor och hem (SOHO), samt uppkopplade enheter (IoT) och smarta enheter.

Hur de hemliga nätverken fungerar

De hemliga nätverken används för att koppla upp sig via internet på ett sätt som är både billigt, lågrisk och förnekbart. Detta gör det svårt att spåra och härleda skadlig aktivitet till dess ursprung. Bevis tyder på att kinesiska informationssäkerhetsföretag skapar och underhåller dessa nätverk.

Hackarna använder nätverken för flera typer av cyberbrottslighet, inklusive:

• Spaning
• Leverans av skadlig kod
• Stöld av information

Exempel på grupper som använder dessa nätverk inkluderar Volt Typhoon, som positionerat sig inför attacker mot kritisk amerikansk infrastruktur, och Flax Typhoon, som bedriver cyberunderrättelseverksamhet.

Exempel på hemliga nätverk

Ett av de mest kända exemplen är botnätet Raptor Train, som har infekterat 200 000 enheter världen över. Dessa nätverk är stora, ständigt föränderliga och nya nätverk utvecklas kontinuerligt.

Sofistikerade cyberoperationer

Under ett tal denna vecka framhävde NCSC:s vd Richard Horne den höga nivån av sofistikering som kinesiska underrättelse- och militärmyndigheter uppvisar i sina cyberoperationer.

Försvar mot hemliga nätverk

Enligt varningen är försvar mot dessa hemliga nätverk inte enkla, men det finns flera åtgärder som organisationer kan vidta. De mest utsatta organisationerna bör aktivt söka upp, spåra och kartlägga dessa nätverk. Genom att använda hotrapportering kan de skapa blocklistor och vidta ytterligare skyddsåtgärder.

"Genom nära samarbete med amerikanska och internationella partners fortsätter CISA att identifiera och varna organisationer för kinesiska statsstödda cyberaktörer som hotar kritisk infrastruktur. Denna varning informerar organisationer om hur dessa aktörer strategiskt använder flera, ständigt utvecklande hemliga nätverk i stor skala för skadlig cyberverksamhet."

Nick Andersen, tillförordnad chef för CISA