Chiến dịch gián điệp liên quan PRC xâm nhập mạng y tế và quân sự hơn 1 năm, đánh cắp dữ liệu qua Gmail
"Google reported a PRC-linked espionage campaign by UNC6508 that persisted for more than a year inside North American medical and military research networks, beginning with exploitation of externally facing REDCap servers as early as September 2023. The attackers deployed custom InfiniteRed malware to maintain access and harvest credentials, then used stolen admin access to create email compliance rules that silently BCC-forwarded sensitive Gmail and internal communications to an attacker-controlled account; Google notified victims and disabled the exfiltration mailbox."
Tác động lớn do kết hợp xâm nhập qua REDCap, cài InfiniteRed và cơ chế trích xuất dữ liệu qua email compliance rules; đánh cắp thông tin đăng nhập và BCC chuyển tiếp dữ liệu nhạy cảm là các điểm then chốt.
Rủi ro gián đoạn nghiên cứu và rò rỉ thông tin nhạy cảm đối với các tổ chức y tế/quân sự; ảnh hưởng chủ yếu đến tài sản dữ liệu và niềm tin tuân thủ, dù phạm vi tổ chức bị ảnh hưởng chưa được công bố cụ thể.
Theo báo cáo của Google Threat Intelligence Group, một nhóm gián điệp liên quan PRC (được theo dõi là UNC6508) đã duy trì hiện diện trong các mạng lưới nghiên cứu y tế và quân sự tại Bắc Mỹ trong hơn một năm. Hoạt động được cho là bắt đầu từ ít nhất tháng 9/2023, khi kẻ tấn công khai thác các máy chủ REDCap (Research Electronic Data Capture) đang mở ra Internet để xâm nhập.
Sau khi chiếm quyền, nhóm triển khai mã độc tùy chỉnh InfiniteRed nhằm duy trì truy cập và thu thập thông tin đăng nhập. Mã độc có các thành phần giúp duy trì truy cập bền vững, cài bộ phận thu thập thông tin xác thực và hoạt động như một backdoor thông qua các hook thực thi khi tải trang REDCap.
Khi đã có tài khoản quản trị, kẻ tấn công tạo email compliance rules để âm thầm chuyển tiếp (BCC) các email chứa từ khóa và mẫu địa chỉ liên quan đến công nghệ, chính sách quốc phòng và nghiên cứu y sinh tới một hộp thư do kẻ tấn công kiểm soát. Google cho biết đã liên hệ và hỗ trợ các nạn nhân được xác định, đồng thời vô hiệu hóa mailbox dùng để trích xuất dữ liệu.
Khuyến nghị: rà soát cấu hình REDCap bên ngoài, kiểm tra dấu hiệu InfiniteRed, và đối chiếu các compliance rules/quy tắc chuyển tiếp trong hệ thống email để phát hiện bất thường.