Een groep aanvallers heeft een paar dagen voor de publicatie over een zerodaylek in de vpn-software van Pulse Secure webshells van besmette systemen verwijderd, zo claimt securitybedrijf FireEye. Op 20 april kwamen Pulse Secure en FireEye met een waarschuwing voor een actief aangevallen zerodaylek in de Pulse Secure-software. De kwetsbaarheid, aangeduid als CVE-2021-22893, scoort op een schaal van 1 tot en met 10 wat betreft de impact een maximale score van 10.

Daarnaast bleek dat de aanvallers ook van andere, al bekende kwetsbaarheden in de software gebruikmaakten om systemen te compromitteren. Tussen 17 en 20 april zagen onderzoekers van FireEye dat de aanvallers achter deze aanvallen van tientallen systemen de webshells verwijderden die ze via de beveiligingslekken hadden geïnstalleerd. Een webshell is een script dat aanvallers op servers plaatsen om toegang te behouden en op afstand code en commando's uit te voeren.

"Het is ongewoon voor Chinese spionagegroepen om een groot aantal backdoors in de omgevingen van slachtoffers te verwijderen rond de tijd van openbaarmaking. Deze acties laten zorgen over de operationele veiligheid en gevoeligheid voor publiciteit zien", zegt Dan Perez van FireEye. Of de aanvallers mogelijk wisten van het onderzoek van het securitybedrijf of dat het puur toeval is laat Perez niet weten.

Volgens de onderzoeker doen de aanvallers veel moeite om detectie te voorkomen. Zo worden timestamps van bestanden gewijzigd en logbestanden, core dumps en bestanden met gestolen data geregeld aangepast of verwijderd. Verder hebben de aanvallers uitgebreide kennis van netwerkapparaten en het aangevallen netwerk, aldus Perez. Dit kan het lastig voor organisaties maken om een overzicht te krijgen van wat de aanvallers hebben buitgemaakt en sinds wanneer ze in het netwerk aanwezig zijn.

De aanvallers hebben het voorzien op inloggegevens, andere vertrouwelijke data en het behouden van toegang tot het netwerk. Volgens FireEye heeft het tientallen getroffen organisaties in Europa en de Verenigde Staten waargenomen, die actief zijn in de defensie-industrie, overheid, telecomsector, onderwijsinstellingen, transport en financiële sector. Tevens claimt het securitybedrijf dat de spionageactiviteiten van de aanvallers doelen van de Chinese overheid ondersteunen.