Kopfgeld ausgesetzt: Chinesen sollen 81.000 Sophos-Firewalls infiltriert haben
US-Behörden haben Sanktionen gegen eine in China ansässige Cybersicherheitsfirma namens Sichuan Silence sowie einen ihrer Mitarbeiter verhängt. Der Mitarbeiter und seine Kollegen sollen im Jahr 2020 eine Malware entwickelt und damit weltweit etwa 81.000 Sophos-Firewalls kompromittiert haben. Das US-Außenministerium bietet eine Belohnung(öffnet im neuen Fenster) von bis zu 10 Millionen US-Dollar für Hinweise, die zur Identifizierung oder zum Auffinden einer der involvierten Personen führen.
Den Angaben nach hat die Sichuan Silence Information Technology Co. Ltd. "eine Produktlinie entwickelt, die zum Scannen und Aufspüren von Netzwerkzielen in anderen Ländern verwendet werden kann, um wertvolle nachrichtendienstliche Informationen zu erhalten" . Für chinesische Regierungsbehörden soll das Unternehmen entsprechende Dienstleistungen erbracht haben.
Wie aus einer Mitteilung des US-Justizministeriums(öffnet im neuen Fenster) hervorgeht, nutzten die gesuchten Personen für die Infiltration der Sophos-Firewalls die als kritisch eingestufte Zero-Day-Lücke CVE-2020-12271(öffnet im neuen Fenster) aus. Diese ermöglicht es Angreifern, per SQL-Injection aus der Ferne Schadcode auszuführen und Anmeldeinformationen für diverse Admin-Accounts und andere Benutzerkonten abzugreifen.
Ransomware im Gepäck
Den Angaben nach war die von Sichuan Silence entwickelte Malware so konzipiert, dass sie von den infizierten Firewalls sowie von im dahinterliegenden Netzwerk befindlichen Computern Informationen ausleiten konnte. Sophos soll die ausgenutzte Lücke damals innerhalb weniger Tage gepatcht und einen Hotfix für die Beseitigung der Schadsoftware bereitgestellt haben.
Laut Bleeping Computer(öffnet im neuen Fenster) war jedoch in der Malware eine Art Totmannschalter enthalten, der die Schadsoftware dazu veranlasste, Windows-Systeme, die von den infiltrierten Firewalls aus erreichbar waren, mit einer Ragnarok-Ransomware zu verschlüsseln. Erfolgreich waren diese Verschlüsselungsversuche nach Angaben der US-Justiz allerdings nicht.
Sophos hatte im Oktober unter dem Titel "Pacific Rim" umfassend über Hacking-Aktivitäten chinesischer Akteure berichtet(öffnet im neuen Fenster) , die auf Produkte des Sicherheitsunternehmens abzielten und im Rahmen einer fünfjährigen Untersuchung beobachtet wurden. Die über CVE-2020-12271 ausgeführten Angriffe fanden dabei ebenfalls Erwähnung(öffnet im neuen Fenster) .