Mandiant findet Spionage-Tools
Malware auf nicht aktuell gehaltenen Juniper-Routern
Nach einer Untersuchung, die bis Mitte 2024 zurückreicht, hat Mandiant seine Erkenntnisse über eine verdeckte Spionagekampagne des Akteurs UNC3886 veröffentlicht. Es geht um benutzerspezifische Malware auf nicht aktuell gehaltenen Junos-OS-Routern von Juniper Networks.
Mandiant arbeitete dazu nach eigenen Angaben mit Juniper Networks zusammen, um die Aktivitäten von UNC3886 zu untersuchen, und fand heraus, dass die betroffenen Juniper MX-Router, auf die die Gruppierung abzielte, mit veralteter Hardware und Software arbeiteten.
Die von UNC3886 verwendeten benutzerdefinierten Malware-Samples zeigen, dass der Bedrohungsakteur über ein umfassendes Wissen von weitreichenden Systeminterna verfügt.
Mandiant empfiehlt Unternehmen, ihre Juniper-Geräte auf die neuesten von Juniper Networks veröffentlichten Images zu aktualisieren, um Risiken zu minimieren und um aktualisierte Signaturen für das Juniper Malware Removal Tool (JMRT) zu erhalten. Unternehmen sollten nach dem Upgrade den JMRT Quick Scan und Integrity Check durchführen.
UNC3886 nutzt ein eigenes Malware-Ökosystem. Mandiant fand sechs verschiedene Malware-Varianten, die auf mehreren ausgedienten Juniper MX-Routern eingesetzt werden. Jede dieser Varianten ist eine modifizierte Version der TINYSHELL-Backdoor, die es Angreifern ermöglicht, sich Zugang zu diesen Geräten zu verschaffen und sich länger dort aufzuhalten.
Dazu gehören aktive und passive Hintertüren sowie ein eingebettetes Skript, das die Protokollierungsmechanismen deaktiviert und so die Sicherheitsüberwachungssysteme ausblendet.
Veriexec ist der integrierte Sicherheitsmechanismus von Junos OS. Mandiant hat keine Hinweise auf eine erfolgreiche Ausnutzung und Umgehung von Veriexec-Techniken gefunden, die bereits von Juniper in unterstützter Software und Hardware berücksichtigt wurden.
Abgesehen von der in einem Mandiant-Blog beschriebenen neuartigen Prozessinjektionstechnik deuteten die Infektionen auf den kompromittierten EOL Juniper MX-Routern ebenfalls darauf hin, dass der Bedrohungsakteur erfolgreich ausführbare Hintertüren eingesetzt hat. Der Angreifer verfügt über Root-Zugriff auf die betroffenen Geräte.
Während sich UNC3886 bisher auf Netzwerk-Edge-Geräte konzentrierte, zeige diese jüngste Aktivität, dass die Gruppierung auch auf interne Netzwerkinfrastrukturen wie Router von Internetdienstanbietern abzielt, was im Erfolgsfall erhebliche Auswirkungen haben könnte, so Mandiant weiter.
Mandiant und Juniper Networks empfehlen Unternehmen, ihre Netzwerkgeräte auf aktuelle Versionen mit den neuesten Sicherheits-Patches zu aktualisieren, die Juniper Networks veröffentlich.
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
