Kyberrikollisten omat tietoturvamokat ovat paljastaneet poikkeuksellisen tarkasti laajan StopAndProtect-operaation. Check Point Research pääsi käsiksi rikollisten infrastruktuuriin, lähdekoodiin, hallintatyökaluihin ja uhritietoihin. Jäljille päästiin operaattoreiden tekemien OPSEC-virheiden ansiosta.
StopAndProtectissa rikolliset olivat kaapanneet lähes 2000 WordPress-sivustoa ja käyttäneet niitä haittaohjelmien levittämiseen ja varastettujen tietojen säilyttämiseen. Check Pointin mukaan operaation kautta oli saastunut yli 5000 tietokonetta eri puolilla maailmaa.
Rikolliset eivät rakentaneet toimintaansa pelkästään omien komentopalvelintensa varaan. Sen sijaan kaapattuja WordPress-sivustoja käytettiin hajautettuna infrastruktuurina hyökkäyksen eri vaiheissa. Niiltä jaettiin haittaohjelmia ja uusia hyötykuormia, kommunikoitiin saastuneiden koneiden kanssa sekä tallennettiin varastettuja asiakirjoja, kuvakaappauksia ja toimintalokeja.
Legitiimien verkkosivustojen käyttäminen auttoi samalla piilottamaan haitallisen liikenteen tavallisen verkkoliikenteen joukkoon.
Check Point löysi esimerkiksi yhden kaapatun sivuston, jossa oli edelleen käytössä vuodelta 2021 peräisin oleva WordPress-versio. Siihen liittyi lähes 40 tunnettua haavoittuvuutta. Tutkijoiden mukaan päivittämättömät WordPress-asennukset ja lisäosat muodostavatkin merkittävän osan tällaisen infrastruktuurin syntymisestä.
Rikolliset jättivät omat tiedostonsa näkyville
Operaation heikoimmaksi lenkiksi osoittautui rikolliset itse.
Tutkijat löysivät julkisesti avoimia hakemistoja, joihin oli jäänyt haittaohjelmien lokeja, uhrien tietoja ja kuvakaappauksia, varastettuja tiedostoja sekä operaation hallintaan käytettyjä työkaluja. Samalla löytyi lähdekoodia automaatiotyökaluista, joilla suurta määrää kaapattuja WordPress-sivustoja hallittiin. Paljastuneista tiedostoista löytyi myös viittauksia lähes 2 000 operaation yhteydessä kaapattuun verkkotunnukseen.
Vielä pahempi moka saattoi sattua yhdelle hyökkääjistä. Check Point epäilee, että operaattori onnistui vahingossa saastuttamaan oman tietokoneensa. Tämän seurauksena rikollisten sisäisiä kehitystiedostoja päätyi samalle palvelininfrastruktuurille, johon kerättiin tietoja uhreilta.
Arkisto poistettiin muutamaa päivää myöhemmin, mutta tutkijat olivat ehtineet saada sen kautta poikkeuksellisen yksityiskohtaisen kuvan operaation toiminnasta.
Hyökkäys alkaa vale-CAPTCHAlla
StopAndProtect ei nojaa hyökkäyksen alkuvaiheessa erityisen kehittyneeseen tekniseen haavoittuvuuteen. Uhria huijataan niin sanotulla ClickFix-menetelmällä.
Käyttäjälle näytetään väärennetty CAPTCHA-tarkistus, joka kehottaa kopioimaan ja suorittamaan komennon omalla tietokoneella. Käyttäjä käynnistää näin itse monivaiheisen tartuntaketjun, joka hakee lisää haittaohjelmia kaapatuilta WordPress-sivustoilta.
Haittaohjelmakokonaisuutta voidaan käyttää muun muassa asiakirjojen ja käyttäjätunnusten varastamiseen, koneen toiminnan seuraamiseen ja tietojen siirtämiseen hyökkääjille. Myös kiristyshaittaohjelma voi olla hyökkäysketjun lopputulos.
Kiinalainen Hongqi on saanut uuden sähköautoakun latausnopeuden hetkellisesti 12C-tasolle. Valmistajan mukaan tulos perustuu uudenlaiseen anodimateriaaliin, elektrolyyttiin ja 15 prosenttia pienempään sisäiseen vastukseen.
Tekoälypalvelinten kasvava tehotiheys tekee datakeskusten varmistamisesta aiempaa monimutkaisempaa. Ylimääräiset teholähteet voivat parantaa käyttövarmuutta, mutta samalla ne lisäävät lämpökuormaa ja häiritsevät ilmavirtoja. Siksi tehonsyöttö, varmennus ja jäähdytys on suunniteltava yhtenä kokonaisuutena.