Spionasjekampanje mot myndigheter og telekom forstyrret i 42 land

Google Threat Intelligence Group og Mandiant har ledet en koordinert operasjon for å forstyrre en global spionasjekampanje. Bak kampanjen står UNC2814, en antatt kinesisk statstilknyttet aktør som har rettet seg mot myndigheter og telekomvirksomheter verden over. Angriperne brukte en ny bakdør kalt GRIDTIDE, som bruker Google Sheets som kommando- og kontrollkanal for å holde tilgangen skjult. Per 18. februar var 53 rammede virksomheter i 42 land på fire kontinenter bekreftet, med mistanke om infeksjoner i minst 20 land til.

Hva det betyr for virksomheten

Bruk av vanlige skytjenester som kommandokanal er det sentrale her. Trafikken går til en tjeneste virksomheten allerede stoler på og bruker daglig, og skiller seg dermed ikke ut i brannmurloggene. Telekom og offentlig sektor er de uttalte målene, men underleverandører inn i disse sektorene er en velkjent vei inn. Norske virksomheter i eller nær kritisk infrastruktur bør vurdere seg som relevante, ikke bare som tilskuere.

Berigo anbefaler

• Kartlegg hvilke skytjenester som er tillatt fra servere og driftsmiljøer, og fjern de som ikke har en forretningsbegrunnelse der.
• Bygg deteksjon på uvanlige bruksmønstre mot godkjente skytjenester, ikke bare på hvilke domener som besøkes.
• Gå gjennom tilgangene til leverandører og underleverandører som når inn i kritiske systemer.
• Sikre at NIS2-arbeidet dekker leverandørkjeden og ikke stopper ved eget nettverk.

Kilde

• cloud.google.com