Em investigação publicada em 19 de outubro, a NorForge identificou mais de 20 painéis Cairn expostos que considerou provavelmente associados a atividades maliciosas. A apuração também descreve painéis ligados a operações de red team aparentemente legítimas e relata uma webshell ativa em um caso específico.
O que a NorForge encontrou nos painéis
A NorForge descreve o Cairn como um sistema de resolução de problemas em que agentes compartilham descobertas em um quadro de projeto e usam essas informações nas etapas seguintes. Painéis expostos podem revelar resultados de projetos e credenciais inseridas por operadores. A organização também encontrou painéis expostos ligados a operações de red team aparentemente legítimas, cuja exposição poderia colocar clientes dessas equipes em risco.
A NorForge atribuiu mais de 1.100 projetos de ataque, distribuídos por 14 painéis, ao grupo de atividade em língua chinesa que chamou de AIA0001. Em dados de painéis expostos, uma análise com o Trufflehog encontrou centenas de segredos; 11% foram verificados como válidos. Esse resultado se refere aos dados dos painéis examinados.
Nos projetos bem-sucedidos analisados, sobretudo os associados ao AIA0001, o tempo médio entre o início e o alcance do objetivo ficou pouco abaixo de 23 horas. Um dos projetos durou mais de cinco dias. A NorForge estimou uma taxa média de sucesso de cerca de 10% entre as estruturas de execução observadas; os grupos tinham objetivos diferentes, o que dificulta comparar seus resultados diretamente.
O caso da webshell ativa
Em um caso, a NorForge verificou uma URL de shell listada em uma tarefa concluída em um fornecedor de componentes de hardware e relatou encontrar uma webshell de upload ativa. O achado diz respeito a esse servidor específico.
Os números da campanha
A Reuters relatou tentativas de invasão contra mais de 1.200 sites e mais de 100 comprometimentos. O primeiro número contabiliza tentativas; o segundo, comprometimentos reportados.
