LightBasin

Вводный раздел этой статьи может быть слишком коротким, чтобы адекватно суммировать основные моменты . Пожалуйста, рассмотрите возможность расширения вводного раздела, чтобы предоставить доступный обзор всех важных аспектов статьи. ( Апрель 2022 г. )

This article may be confusing or unclear to readers. In particular, the article does not explain what a LightBasin is to a non-technical reader who is not a computer security specialist in persistent threats. Please help clarify the article. There might be a discussion about this on the talk page. (April 2022) (Learn how and when to remove this message)

LightBasin , также называемая UNC1945 компанией Mandiant , является предполагаемой китайской группой кибершпионажа, которая была описана как продвинутая постоянная угроза , связанная с многочисленными кибератаками на телекоммуникационные компании. ^{[1] [2] [3]} Как продвинутая постоянная угроза, они стремятся получить несанкционированный доступ к компьютерной сети и оставаться незамеченными в течение длительного периода. Они были связаны с атаками, нацеленными на системы Linux и Solaris . ^{[1] [2] [3]}

Кибершпионская группа LightBasin действует с 2016 года. ^{[1] [2]} CrowdStrike утверждает, что они базируются в Китае , хотя их точное местонахождение неизвестно. ^[1] Они атаковали 13 операторов связи. ^[2]

CrowdStrike утверждает, что группа необычна тем, что нацеливается на протоколы и технологии операторов связи . ^[1] Согласно расследованию CrowdStrike одного из таких нарушений, LightBasin использовал внешние серверы Domain Name System (eDNS), которые являются частью сети General Packet Radio Service (GPRS) и играют роль в роуминге между различными операторами мобильной связи, чтобы напрямую подключаться к сетям GPRS других скомпрометированных телекоммуникационных компаний через Secure Shell и через ранее установленные импланты. Многие из их инструментов написаны для них, а не являются готовыми. ^[1]

После взлома системы они установили бэкдор , известный как SLAPSTICK, для модуля аутентификации Solaris Pluggable . ^[2] Они используют TinyShell, который является командной оболочкой Python , используемой для управления и выполнения команд через HTTP- запросы к веб-оболочке , ^[4] чтобы общаться с IP-адресами злоумышленников. Скрипты туннелируются через эмулятор SGSN , который, по словам CrowdStrike, должен поддерживать OPSEC . ^[3] Узел поддержки обслуживания GPRS (SGSN) является основным компонентом сети GPRS, который обрабатывает все пакетно-коммутируемые данные в сети, например, управление мобильностью и аутентификацию пользователей. ^[5] Использование этой формы туннелирования снижает вероятность ограничения или проверки решениями сетевой безопасности. ^{[1] [3]}

CrowdStrike рекомендует настроить брандмауэры , работающие с трафиком GPRS, на ограничение доступа к трафику DNS или протокола туннелирования GPRS. ^[1]

• Запись блога Crowdstrike на LightBasin
• Запись в блоге Beyond Trust на LightBasin