Компания Mandiant, занимающаяся кибербезопасностью и дочерняя компания Google Cloud, объявила о подозрения в том, что шпионы, поддерживаемые Китаем, могли стоять за эксплуатацией уязвимости нулевого дня в шлюзе безопасности электронной почты Barracuda (ESG).

Исследователи отследили атаки на китайскую -агент связи, который, по-видимому, занимался шпионажем, «охватывающим множество регионов и секторов», включая правительство США.

В объявлении подробно рассказывается, как злоумышленник под кодовым названием UNC4841 рассылал электронные письма, содержащие вредоносные файлы, целевым организациям. который будет использовать CVE-2023-2868, чтобы получить первоначальный доступ к уязвимым устройствам Barracuda ESG.

За атакой Barracuda ESG могут стоять китайские шпионы

В описании CVE подробно описана уязвимость, затрагивающая версии 5.1.3.001–9.2.0.006:

«Удаленный злоумышленник может особым образом отформатировать имена файлов [.tar], что приведет к удаленному выполнению системная команда с помощью оператора qx Perl с привилегиями продукта Email Security Gateway».

Подробнее

> Лучшее удаление вредоносных программ

> ФБР уничтожает российскую сеть вредоносных программ, использовавшуюся для атаки Союзники по НАТО

> Китайские хакеры превратили Google&apos ;этический хакерский инструмент превратился в настоящую угрозу безопасности

По словам сотрудников службы безопасности, атакам подверглись государственный и частный секторы, причем более половины из них (55%) находились в Северной и Южной Америке. Остальные пришлись почти в равных долях из регионов EMEA и APAC, при этом атаки показали четкую направленность «на вопросы, которые являются высокоприоритетными для [Китайской Народной Республики]».

Исправление BNSF-36456 был автоматически применен ко всем устройствам, однако атаки могли продолжаться незамеченными с октября 2022 года по май 2023 года — период, охватывающий более семи месяцев.

Мандиант, ответственный за поднятие проблемы, заявил в заявление, в котором говорится, что он «одобряет Barracuda за их решительные действия, прозрачность и обмен информацией после использования CVE-2023-2868 с помощью UNC4841».

Тем не менее, истинная личность UNC4841 остается неподтвержденной, а группа в целом и, вероятно, осуществляют или разрабатывают другие атаки и используют уязвимости в других местах.