Китайские хакеры используют уязвимости WordPress и Zyxel для кражи государственных данных

Специалисты по кибербезопасности зафиксировали целенаправленную кампанию китайскоязычного threat-актора, нацеленную на кражу конфиденциальных данных из государственных организаций. Для проникновения в инфраструктуру злоумышленники эксплуатируют известные уязвимости в коммутаторах ZyXEL GS1900 Smart Managed Switches и популярной CMS WordPress. Кампания демонстрирует, как комбинирование нескольких векторов атак позволяет обходить разрозненные средства защиты и достигать критичных активов сети.

Атака важна прежде всего потому, что её жертвами становятся государственные структуры, а похищенные данные могут использоваться в дальнейших операциях кибершпионажа. Подобные инциденты подчёркивают необходимость своевременного обновления сетевого оборудования и веб-приложений, даже если они расположены во внутреннем периметре организации.

Подробности

Согласно отчёту, злоумышленники эксплуатировали уязвимости в устройствах ZyXEL GS1900 — линейке управляемых коммутаторов, широко применяемых в корпоративных и государственных сетях. Через эти точки входа хакеры получали первоначальный доступ к внутренней инфраструктуре. Параллельно использовались бреши в WordPress, что позволяло разворачивать веб-шеллы, закрепляться на серверах и переходить к сбору данных.

Масштаб компрометации оказался значительным: пострадали 996 устройств, а из бэкенд-баз данных было похищено более 18 500 записей. Группировка действует с китайскоязычными инструментами и, по всей видимости, преследует разведывательные цели. В отчёте не приводятся идентификаторы конкретных CVE, однако сам вектор атаки описывается как эксплуатация известных уязвимостей в указанных продуктах.

Ключевая особенность кампании — комбинирование технологий. Атакующие не ограничиваются одной точкой входа, а последовательно используют слабости сетевого оборудования и веб-платформы, что усложняет обнаружение и реагирование. Это типичная тактика целевых APT-групп, работающих против государственного сектора.

Что делать

Для снижения рисков рекомендуется:

• Проверить парк коммутаторов ZyXEL GS1900 и убедиться, что на всех устройствах установлены актуальные прошивки. Устаревшие версии следует обновить в приоритетном порядке.
• Провести аудит всех установок WordPress: обновить ядро, плагины и темы, удалить неиспользуемые компоненты и проверить учётные записи администраторов.
• Ограничить доступ к интерфейсам управления коммутаторов и админ-панелям WordPress — они не должны быть доступны из интернета.
• Внедрить MFA для административного доступа и сегментировать сеть, чтобы компрометация одного сегмента не открывала путь к критичным данным.
• Проверить логи на предмет подозрительной активности, включая несанкционированные веб-шеллы, необычные входы и обращения к базам данных.
• Обеспечить резервное копирование и мониторинг бэкенд-баз данных, где хранятся чувствительные сведения.

Инцидент подтверждает, что государственные организации остаются приоритетной целью для китайскоязычных APT-группировок, а сочетание уязвимостей в сетевом оборудовании и веб-приложениях даёт злоумышленникам широкие возможности для кражи данных. Своевременное обновление и сегментация инфраструктуры — минимально необходимые меры защиты.

Источник: BleepingComputer