هکرهای چینی از ابزار نقشه‌برداری جغرافیایی برای ماندگاری یک‌ساله سوءاستفاده کردند

هکرهای دولتی چینی با تبدیل یک جزء از ابزار نقشه‌برداری جغرافیایی ArcGIS به یک وب شل (web shell)، بیش از یک سال در محیط هدف بدون شناسایی باقی ماندند. محققان شرکت امنیت سایبری ReliaQuest با اطمینان بالا اعلام کردند که این مهاجم یک گروه APT چینی و احتمالاً Flax Typhoon است. مهاجمان با استفاده از اعتبارنامه‌های مدیریتی معتبر، به سرور ArcGIS عمومی متصل شدند و یک افزونه جاوا مخرب (SOE) آپلود کردند که به عنوان وب شل عمل می‌کرد و دستورات رمزگذاری شده base64 را از طریق پارامتر REST API دریافت و اجرا می‌کرد.

برای ایجاد پایداری و گسترش قابلیت‌های خود، گروه Flax Typhoon از طریق SOE مخرب، نرم‌افزار SoftEther VPN Bridge را دانلود و نصب کرد و آن را به عنوان سرویس ویندوز ثبت نمود تا به طور خودکار در هنگام راه‌اندازی سیستم فعال شود. این VPN یک تونل HTTPS خروجی به سرور مهاجم برقرار کرد که با ترافیک مشروع مخلوط می‌شد. محققان مشاهده کردند که مهاجمان تلاش کردند پایگاه داده SAM، کلیدهای رجیستری امنیتی و اسرار LSA را از دو ایستگاه کاری متعلق به کارکنان IT سازمان هدف استخراج کنند. این اولین باری است که شرکت Esri سازنده ArcGIS، چنین استفاده‌ای از SOE را مشاهده می‌کند و اعلام کرده که مستندات خود را برای هشدار در مورد خطرات SOE های مخرب به‌روزرسانی خواهد کرد.