Як T-Mobile буквально «відрізала» хакерів Salt Typhoon від своєї мережі

У 2024 році команда кібербезпеки T-Mobile зупинила підозрілу активність, пов’язану із Salt Typhoon, за допомогою напрочуд простого рішення: фахівці фізично перерізали мережевий кабель, який з’єднував скомпрометоване обладнання із зовнішньою мережею. Оператор помітив аномальний трафік, що надходив через підключеного провайдера фіксованого зв’язку, і кілька місяців відстежував шлях цього доступу. У листопаді 2024 року систему ізолювали. 134

За доступними повідомленнями, йшлося про обмежене проникнення, а не масштабний злам усієї мережі T-Mobile. У компанії заявили, що зловмисники не встигли дістатися даних клієнтів, тоді як ізольоване обладнання продовжили досліджувати. 134

Як T-Mobile виявила проникнення

Зловмисники, ймовірно, не потрапили безпосередньо до найзахищеніших сегментів мережі оператора. Аналітики зафіксували нетипову активність у системі, підключеній через мережу іншого провайдера фіксованого зв’язку. Відстежуючи трафік через це з’єднання, вони зрештою вийшли на скомпрометований маршрутизатор або інше мережеве обладнання. 89

Пошуки тривали місяцями. Проблема полягала не лише в тому, щоб помітити підозрілу активність, а й у тому, щоб точно визначити відповідальний пристрій і зрозуміти, чи не спричинить його відключення більших операційних проблем. За даними джерел, зловмисники дісталися периферійної маршрутизаційної інфраструктури, але не проникли до ядра мережі T-Mobile. 6

Чому фахівці взялися за ножиці

Коли скомпрометоване обладнання знайшли в дата-центрі поблизу штаб-квартири T-Mobile у Белв’ю, штат Вашингтон, туди вирушили директор із безпеки компанії Джефф Саймон і троє його колег. Вони локалізували пристрій і перерізали ножицями зовнішній мережевий кабель, підключений до нього. 812

Цей фізичний розрив одразу прибрав відповідний канал зв’язку. Команда не покладалася лише на віддалену команду, яка могла не спрацювати або залишити нападникам альтернативний шлях. Натомість обладнання ізолювали, щоб його можна було досліджувати без активного підключення до мережі. 1215

Ефектна деталь із ножицями не повинна затьмарювати головний принцип реагування: коли захисники не можуть бути впевнені, що підключеному пристрою можна довіряти, першочерговим завданням стає локалізація загрози. У цьому випадку найнадійнішим способом припинити підозрілий канал виявилося просте апаратне від’єднання.

Що відомо про кампанію Salt Typhoon

Інцидент стався на тлі ширшої кампанії Salt Typhoon — пов’язаної з Китаєм кібероперації зі шпигунства. Американські посадовці пов’язували її з угрупованням, яке має стосунок до Міністерства державної безпеки Китаю. За повідомленнями, кампанія була спрямована на телекомунікаційні компанії та суміжну мережеву інфраструктуру, зокрема для отримання комунікаційної інформації та доступу до систем, пов’язаних із законним перехопленням даних. 7

Масштаб операції значно перевищував одиного оператора. Джерела говорять про понад 200 постраждалих організацій у світі, серед яких були телекомунікаційні та інтернет-компанії. AT&T і Verizon підтверджували, що їхні системи стали цілями атаки, хоча згодом обидві компанії заявили, що їхні мережі захищені й більше не перебувають під загрозою. 17

Інші повідомлення пов’язували з ширшим переліком жертв Viasat, Charter Communications і Windstream. Водночас розслідування тривали, тому повний масштаб кампанії продовжував уточнюватися в міру виявлення нових організацій. 72426

Чого цей випадок навчає про безпеку мереж

Сторонні підключення можуть стати шляхом атаки

Історія T-Mobile демонструє ризики, які створюють довірені з’єднання між компаніями. Щоб дістатися цільової організації, нападникам не обов’язково зламувати її найбільш захищені системи напряму: іноді достатньо використати сусідню мережу, маршрутизатор або сервісні відносини між провайдерами. Неназваний оператор фіксованого зв’язку у випадку T-Mobile показує, чому моніторинг має охоплювати міжмережеві з’єднання, а не обмежуватися власним периметром компанії. 610

Раннє виявлення обмежує збитки

Перевагою T-Mobile стало своєчасне реагування. Фахівці виявили підозрілу активність до того, як вона переросла в масштабний злам, простежили маршрут і розірвали з’єднання ще до доступу до даних клієнтів. Це не означає, що ризику не було; за доступними повідомленнями, проникнення вдалося локалізувати до того, як нападники розширили доступ у мережі. 213

Ізоляція іноді надійніша за віддалене виправлення

Сучасне реагування на інциденти зазвичай передбачає зміну облікових даних, правила брандмауера, інструменти захисту кінцевих пристроїв і програмні оновлення. Але якщо підозра падає на конкретний фізичний пристрій і його зовнішнє з’єднання можна безпечно від’єднати, найнадійнішим першим кроком може бути саме це.

Ножиці стали символом цієї історії, бо уособлюють остаточне рішення з локалізації загрози: спочатку зупинити канал, а вже потім повністю розібратися в тому, що відбулося.

Головний висновок

Salt Typhoon показала, наскільки привабливою ціллю для державного кібер espionажу є телекомунікаційна інфраструктура — і як скомпрометована система однієї організації може створити ризик для інших через спільні мережі та довірені зв’язки. Водночас випадок T-Mobile доводить: складна атака не завжди потребує складного фінального рішення. Постійний моніторинг, ретельне відстеження маршруту і своєчасна ізоляція не дали підозрілому з’єднанню перерости в масштабний злам мережі, згідно з доступними описами подій. 415

Перерізаний кабель був лише останнім кроком. Важливішою частиною захисту стали місяці розслідування, які допомогли знайти підозрілий шлях і дати команді достатньо впевненості, щоб ізолювати саме потрібне обладнання.