FBI thu giữ công cụ tấn công mạng liên quan đến các mục tiêu chính phủ Mỹ
"The FBI said it disrupted a China-linked botnet operation and seized domains tied to two hacking platforms, QScan and QTRouter, that were used to scan, infect, and route attacks through compromised IoT devices. The activity was linked to intrusions against NASA, the US Senate, DOE, NIH, and other organizations, using vulnerabilities including CVE-2019-11510 in Ivanti Pulse Secure VPN, CVE-2019-19781 in Citrix VPN products, and a later zero-day in Ivanti Cloud Services Appliance; the seizures rendered the services inoperable."
Tác động an ninh cao do liên quan đến xâm nhập vào hệ thống chính phủ và hạ tầng trọng yếu, đồng thời khai thác lỗ hổng VPN nghiêm trọng và zero-day.
Có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu và tăng chi phí ứng phó sự cố; các tổ chức dùng VPN, IoT và proxy cần kiểm tra khẩn cấp.
FBI cho biết đã gián đoạn một botnet và thu giữ 3 tên miền liên quan đến hai nền tảng tấn công là QScan và QTRouter. Theo cơ quan này, các công cụ trên được một nhóm có liên hệ với Trung Quốc sử dụng để quét, lây nhiễm và che giấu nguồn gốc tấn công thông qua các thiết bị IoT bị chiếm quyền điều khiển.
Hoạt động này bị cáo buộc liên quan đến các vụ xâm nhập nhắm vào NASA, US Senate, Department of Energy (DOE), NIH và một số cơ quan, tổ chức khác. Các chiến dịch khai thác nhiều lỗ hổng đã biết, gồm CVE-2019-11510 trong Ivanti Pulse Secure VPN, CVE-2019-19781 trong Citrix VPN products, và một zero-day sau này trong Ivanti Cloud Services Appliance.
Theo tài liệu tòa án, các dịch vụ bị thu giữ đã ngừng hoạt động sau lệnh của tòa án liên bang. Với các tổ chức vận hành hạ tầng kết nối từ xa, cần ưu tiên vá lỗi, rà soát thiết bị IoT, kiểm tra nhật ký truy cập và tăng cường giám sát các kết nối proxy bất thường để phát hiện sớm dấu hiệu xâm nhập.