FBI изъяла 7 доменов и нарушила работу инструментов Flax Typhoon
ФБР и Министерство юстиции США объявили о пресечении деятельности вредоносных инструментов, используемых связанной с Китаем группировкой Flax Typhoon. В рамках операции изъято несколько доменов и заблокирован доступ к платформам, с помощью которых злоумышленники сканировали и в ряде случаев проникали в объекты критической инфраструктуры США. Мера затрагивает организации, чьи сети могли использоваться как промежуточное звено для атак.
Подробности
В рамках операции правоохранительные органы изъяли семь доменов и заблокировали доступ к платформам, задействованным в сканировании и компрометации американских сетей. По заявлению FBI и DoJ, эти ресурсы обеспечивали инфраструктурную поддержку деятельности Flax Typhoon: через них злоумышленники проводили разведку, искали уязвимые узлы и в отдельных случаях получали первоначальный доступ к системам критической инфраструктуры. Flax Typhoon описывается как Advanced Persistent Threat — группировка, для которой характерны длительное присутствие в целевых сетях, осторожность и нацеленность на стратегически значимые объекты. Связь группировки с Китаем и использование ею собственной инфраструктуры для сканирования и вторжений — ключевые обстоятельства, на которые ссылаются американские ведомства. Изъятие доменов и блокировка платформ — это удар по обеспечивающему слою атак, а не по самой вредоносной активности в целом: подобные группы, как правило, быстро восстанавливают возможности, переходя на новые домены и серверы. Однако такие операции усложняют подготовку вторжений и повышают издержки злоумышленников, а также дают защитникам дополнительное время и данные для анализа инфраструктуры атакующих.Что делать
Организациям, особенно работающим с критической инфраструктурой, рекомендуется рассматривать эту новость как напоминание о необходимости усилить контроль периметра и внутренних сегментов сети: — Проведите проверку журналов (логов) на предмет обращений к изъятым доменам и подозрительной активности сканирования, в том числе исходящих соединений с внутренних узлов. — Убедитесь, что внешние сервисы и VPN-шлюзы защищены MFA, а TLS-конфигурации соответствуют актуальным требованиям; ограничьте доступ к административным интерфейсам из интернета. — Проверьте актуальность обновлений на периметровых устройствах, серверах и в используемых API-интеграциях, чтобы исключить эксплуатацию известных уязвимостей. — Настройте мониторинг и оповещения о массовых сканированиях и аномальных подключениях, а также ограничьте исходящий трафик до необходимых адресов и сервисов. — Проведите ревизию учётных записей с избыточными правами и убедитесь, что используется принцип минимальных привилегий. — При наличии признаков компрометации — изолируйте затронутые узлы, сохраните артефакты для расследования и уведомите ответственных за инцидент. Изъятие инфраструктуры Flax Typhoon не устраняет саму угрозу, но сокращает возможности группировки по подготовке вторжений. Для защитников ключевым остаётся системный контроль доступа, актуальность обновлений и готовность обнаруживать активность на ранних стадиях.Источник: The Hacker News