01.06.2019 | Китайские хакеры Buckeye

Хакеры Buckeye

Группу китайских хакеров Buckeye хорошо знают многие правоохранители. О её активности заговорили в две тысячи девятом году. Также она имеет отношение к Министерству госбезопасности КНР и распространяется посредством CNITSEC (Китай) и ITSEC (Гуандуне). Раньше атаки этих хакеров мешали многим популярным компаниям, к примеру, Сименс. Вот теперь в Symantec узнали о том, что хакеры воспользовались бэкдором DoublePulsar весной две тысячи шестнадцатого года. Получается, это происходило до того, как он пропал от спецслужб Америки.

Как известно, инструментарий АНБ был похищен группировкой The Shadow Brokers летом две тысячи шестнадцатого года. Как пояснили хакеры, раньше данные инструменты были собственностью Equation Group. Кстати, данная группа давно связывалась с АНБ.

Brokers в течение длительного времени предпринимали попытки для продажи украденного малвря. Но так как покупатель так и не был обнаружен – весной две тысячи семнадцатого года дамп был опубликован совершенно бесплатно. И воспользоваться им смог любой желающий.

Среди обнародованных инструментов как раз и появился DoublePulsar. Сейчас об этом известно, так как он помог в распространении WannaCry, а также NotPetya. Как сообщили эксперты Symantec за 12-ь месяцев до того как бэкдор стал доступен – он уже заинтересовал Buckeye. Кстати, данная версия отличалась от DoublePulsar, которую опубликовали в дампе.

Работа хакеров

Исследователи предполагают, что китайские хакеры воспользовались бэкдором, не разбираясь во всех особенностях малвари, оказавшейся у них. Так, они воспользовались DoublePulsar, чтобы исполнить shell-команды и придумать новые аккаунты пользователей. На самом деле ценность бэкдора состоит в том, что он скрытен. Поэтому при осуществлении многих операций не приходится привлекать внимание.

Исходя из того, что в Buckeye использовали DoublePulsar при проведении небольшого количества операций – не было полного доверия данному решению. Вместо этого они отдавали предпочтение своему инструментарию.

А во второй половине две тысячи семнадцатого года группировка полностью отказалась от DoublePulsar. А поспособствовала этому публикация дампа Brokers. Как раз на тот момент многие смогли воспользоваться инструментами АНБ. В свою очередь с помощью защитных решений они стали обнаруживаться, а также оказывать сопротивление. Кроме того в своём отчёте эксперты указали то, что помимо инструментов Equation Group хакеры пользовались нулевой уязвимостью в операционной системе, применяемой Bemstour. О данном баге Майкрософт узнала лишь в сентябре две тысячи восемнадцатого года. А исправить его удалось лишь в марте две тысячи девятнадцатого года. При этом очень интересно, как китайским хакерам удалось завладеть инструментом спецслужб США. По предположению многих экспертов, представители Buckeye нашли бэкдор в «родной» китайской системе.