8 октября 2026 года 10 ведомств из семи стран, от ФБР в США до Национального центра кибербезопасности Великобритании (NCSC) и Национального центра разведки Испании (CNI), подписали 58-страничную консультацию по Integrity Technology Group, китайской коммерческой компании с государственными связями, сотрудники которой разрабатывают и продают инструменты, приобретают и размещают инфраструктуру, а также напрямую компрометируют сети. Мы уже сталкивались с Integrity Tech. В сентябре 2024 года компания была названа оператором ботнета, стоящего за Flax Typhoon, а правительство Великобритании ввело против нее санкции в декабре 2025 года. В новой консультации описывается платформа сканирования MicroScan с более чем 1300 скриптами для проверки уязвимостей, используемая с 2017 года, и инфраструктура, которая оставалась активной в июне 2025 года, через девять месяцев после первого разоблачения. Так что же дает нам разоблачение? Мы находим скомпрометированные системы, делимся индикаторами и начинаем вытеснять злоумышленника. Все это, конечно, имеет значение, но разведывательная потребность, которая изначально привела туда злоумышленника, переживает все это. Если правительству нужен доступ к вашим сетям (для телекоммуникаций, государственных и критически важных инфраструктур, что делают многие), потеря одной операции — это просто издержки ведения бизнеса. Действия Salt Typhoon демонстрируют то же самое в более крупном масштабе. Их вторжения достигли систем американских телекоммуникационных провайдеров, которые по закону обязаны поддерживать для санкционированного судом наблюдения, а в августе 2025 года многонациональная консультация связала эту деятельность с тремя китайскими компаниями, поставляющими киберпродукты и услуги китайским разведывательным и военным организациям. На мой взгляд, интерес Пекина к тому, что находится внутри этих сетей, пережил заголовки новостей. Я опасаюсь рассматривать каждую вновь разоблаченную кампанию как доказательство того, что кибервойна изменилась, поскольку шпионаж и предварительное размещение существуют столько же, сколько и государственное управление. Изменилось то, насколько большую часть этой машины мы теперь можем видеть. В марте 2025 года Министерство юстиции США (DoJ) предъявило обвинения лицам, связанным с другим подрядчиком, i-Soon, утверждая, что компания работала по крайней мере с 43 бюро Министерства государственной безопасности и Министерства общественной безопасности, иногда взламывая по заказу, а иногда взламывая по собственной инициативе и продавая результаты впоследствии. Это пока остаются обвинения. Государство определяет стратегические требования, в то время как подрядчики могут предоставлять возможности и оперативный потенциал для их реализации, как это всегда делали специализированные поставщики разведывательных служб, и эта модель обеспечивает устойчивость. Из восьми уязвимостей, которые, согласно консультации Integrity Tech, были успешно использованы, самая старая — это уязвимость в Bash 2014 года, а самая новая датируется 2023 годом. Подрядчик, работающий в таком масштабе, может использовать дешевые способы возвращения, а необновленное периферийное устройство — это, пожалуй, самое дешевое из всего. Наше исследование в Rapid7 показывает, сколько усилий по-прежнему прилагается для незаметного пребывания в телекоммуникационных сетях. BPFDoor, бэкдор, связанный с деятельностью китайского происхождения, злоупотребляет функциональностью Berkeley Packet Filter в Linux для проверки входящего трафика на наличие специально сформированного пакета-триггера, без обычного прослушивающего сервиса, который мог бы обнаружить защитник. Пока этот пакет не прибудет, он просто ждет. Последующее исследование почти 300 образцов выявило семь ранее не документированных вариантов, несколько из которых были созданы для того, чтобы активация и связь выглядели как обычный трафик. Самая последняя работа обнаружила импланты, адаптированные к конкретным телекоммуникационным и сетевым периферийным устройствам, на которых они находились, некоторые из них маскировались под собственные процессы продуктов, а другие скрывались в SMTP-трафике на устройствах обеспечения безопасности электронной почты (где SMTP является основной функцией устройства), а второй имплант, AVERAT, ретранслировал связь через скомпрометированные сторонние устройства. Ничто в этом исследовании не связывает BPFDoor оперативно с Salt Typhoon, тем более не показывает, что он заменяет доступ, потерянный после раскрытия информации. Нам это не нужно. Salt Typhoon показал, насколько полезны собственные возможности жертвы для злоумышленника; BPFDoor показывает, что злоумышленники настолько внимательно изучают среду, что их бэкдор проходит как часть ее. Борьба за постоянный доступ к этим сетям продолжается после того, как любая кампания скомпрометирована, и инструментарий продолжает развиваться. Элли Хёрст и Майк Гиллеспи, Advent IM: Кто контролирует технологии, от которых мы зависим? В апреле NCSC совместно с промышленностью и 15 международными партнерами опубликовало руководство по тайным сетям, создаваемым китайскими акторами из скомпрометированных маршрутизаторов, устройств хранения данных и другого интернет-оборудования, ссылаясь на доказательства того, что эти сети создаются и поддерживаются китайскими компаниями в области информационной безопасности. Они могут быть обновлены или заменены после оборонительных действий. Даже инфраструктура атаки дешева в восстановлении, потому что она состоит из чужого оборудования. Это руководство было написано совместно с промышленностью через Киберлигу NCSC, и я думаю, именно здесь частный сектор заслуживает своего места. Правительства могут называть и вводить санкции, но именно поставщики, операторы и специалисты по реагированию видят импланты и трафик. Устранение последствий по-прежнему важно, потому что каждый удаленный имплант и каждый запрещенный ретранслятор увеличивают стоимость пребывания. Но более дешевая победа — это закрытие уязвимости до того, как кто-либо ее использует, и если вы управляете телекоммуникационными или другими стратегически важными инфраструктурами, поиск индикаторов прошлой кампании в основном найдет прошлую кампанию. Начните там, где ваша видимость слабее всего, что для большинства операторов означает сетевые устройства, встраиваемые Linux и интерфейсы управления, которые никогда не видели агент конечной точки. Ищите поведение, а не известные вредоносные файлы; исследование BPFDoor дает вам конкретные отправные точки, от пакетных фильтров, прикрепленных к необработанным сокетам, до маскированных процессов и устройств, общающихся с местами, с которыми им не следует общаться. И если вы сидите в совете директоров, чистое свидетельство о здоровье после устранения последствий означает только то, что вы нашли то, что искали. 13 октября директор MI5 Кен МакКаллум заявил, что количество угроз государственного уровня, с которыми сталкивается служба, за десятилетие увеличилось в четыре раза, и что сейчас она тратит больше ресурсов на противодействие государственным угрозам, чем во время холодной войны. Геополитические причины, по которым кто-то хотел получить доступ, остались теми же, что и до начала вашей реакции на инцидент. Поэтому полезный вопрос для совета директоров заключается в следующем: к каким из ваших уязвимостей первым обратится противник, который уже был здесь раньше? Новейшая цепочка имплантов, которую мы обнаружили в Rapid7, удаляет свои файлы через десять секунд после запуска и продолжает работать независимо, потому что люди, которые ее написали, полностью ожидают, что их будут искать.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Rik Ferguson
