Компания Mandiant, специализирующаяся на вопросах кибербезопасности, сообщила, что нашла нулевого клиента — исходного источника хакерской атаки, в результате которой было взломано приложение для VoIP-телефонии компании 3CX, что затронуло большую часть её 600 тыс. клиентов.
Источник изображения: Pixabay
По словам компании, взлом компьютера сотрудника 3CX стал возможен благодаря более ранней атаке на цепочку поставок программного обеспечения, проведённой хакерами, взломавшими компьютерные сети 3CX, в результате которой было заражено приложение разработчика финансового ПО Trading Technologies.
Хакерам удалось внедрить бэкдор в приложение X_Trader компании Trading Technologies, которое после установки на компьютер сотрудника 3CX позволило хакерам добраться до сервера 3CX, используемого для разработки ПО, повредить установочное приложение 3CX и заразить компьютеры клиентов компании. Считается, что сделавшая это хакерская группа, известная как Kimsuky, Emerald Sleet (или Velvet Chollima), работает на правительство Северной Кореи.
«Это первый случай, когда мы нашли конкретные доказательства того, что атака на цепочку поставок программного обеспечения привела к другой атаке на цепочку поставок программного обеспечения», — заявил Чарльз Кармакал (Charles Carmakal), технический директор Mandiant Consulting.
Trading Technologies прекратила поддержку X_Trader в 2020 году, хотя это приложение было доступно для скачивания до 2022 года. Mandiant считает, основываясь на цифровой подписи программы X_Trader, что компрометация цепочки поставок Trading Technologies произошла до ноября 2021 года, в то время как последующая атака на цепочку поставок 3CX была выполнена в начале этого года.
Представитель Trading Technologies сообщил ресурсу WIRED, что компания в течение 18 месяцев предупреждала пользователей о том, что X_Trader не будет поддерживаться c 2020 года. Он отметил, что X_Trader — инструмент для профессионалов трейдинга, поэтому непонятно как приложение оказалось в компьютере сотрудника 3CX. Представитель добавил, что 3CX не является клиентом Trading Technologies, и что компрометация приложения X_Trader никак не повлияет на её имеющееся программное обеспечение.
Цель происшедшего взлома пока не выяснена. Mandiant допускает, что частично это связано с кражей криптовалюты. Ранее «Лаборатория Касперского» сообщила, что среди пострадавших клиентов 3CX были компании, имеющие отношение к криптовалютам.
Но Кармакал считает, что с учётом масштаба хакерских атак на цепочки поставок это может быть лишь верхушкой айсберга. «Я думаю, со временем мы узнаем о гораздо большем количестве жертв, поскольку это связано с одной из этих двух атак на цепочки поставок программного обеспечения», — заявил он.