Hiina riigiga seotud rühm OVERCAST PANDA kasutas füüsilist sissemurdmist ja USB-võtmeid juhtide laptopide kompromitimeks. Loe, kuidas kaitsta ettevõtte andmeid.

Küberturvalisuse maailmas on tavalised rünnakud sageli nähtamatud ja toimuvad tuhandete kilomeetrite kauguselt, kasutades sähpostisid või tarkvaralisi haavatavusi. Kuid hiljutine juhtum, mille avaldas CrowdStrike oma 2026. aasta ohtside raportis, meletab meile, et kõige suurem oht võib olla füüsiline ligipääs. Hiina riigiga seotud hackerite rühm, keda tähistatakse nimega OVERCAST PANDA, on tõestanud, et isegi kõige turvalisemad digitaalsed tõesid ei takista rünnajat, kes suudab hotellitoa lukust läbi saada.

Hotellituba kui sissepääruport

Sündmused unfolded Hainani saarel, kus toimus põllumajanduse sektori konverents. See ei olnud tavaline küberrünnak, kus ohver klõpsaks pahaslehtsele lingile või sisestaks oma parooli võltslehel. Selle asemel kasutasid rünnajatid meetodit, mida kyberturvalisuse eksperdid nimetavad evil maid attack. See tähendab olukorda, kus rünnajatel on lühiajaline ja järelevalvevaba füüsiline ligipääs ohvri seadmele.

CrowdStrike'i andmetel toimus sissemurdmine märtsi ja mai 2026 vahel. Konkreetne näide näitab, et üks sissetungija murdis esimesse hotellituppa kohaliku aja järgi umbes kell 20.00 ning teise tuppa kell 23.57. Samal ajal, kui ettevõtte juhid olid õhtusöögil, olid nende laptopid jäetud tuppe. Rünnajatel ei olnud vaja võrgule ligipääsu ega kasutaja credentials'id; nad lihtsalt bootisid masinad USB-võtme abil ja kirjutasid otse seadme mälulinnusse pahavara.

FlowCloud ja nähtamatu kontroll

USB-võtme abil installiti seadmetesse backdoor nimelt FlowCloud. See ei olnud uus leiutis, kuid selle kasutamise viis oli efektiivne. FlowCloud on olnud teadlaste radaril juba aastateks: Proofpoint dokumenteeris seda juba 2020. aastal, kui seda kasutati USA kommunaalteenuste rünnakuteks, ning NTT Security on jälitanud USB-põhiseid nakkusi Jaapani organisatsioonide välisfiliaalides alates 2022. aastast.

Selle kampaania uudsendus ei ole malware ise, vaid viis, kuidas see deployiti. VentureBeat intervjuus selgitas CrowdStrike'i vastuvastuoperatsioonide vanem asepresident Adam Meyers, et tavaliselt sõltuvad füüsilised rünnakud sellest, et ohver leiaks maha jäänud USB-võtme ja ühendaks selle ise arvutisse. Sel juhul aga ei sõltut kasutaja tegevusest. Rünnajatel oli masinad oma käes, nad bootisid süsteemi USB-st ja jätsid kõik taas normality seisukorda.

Meil on nähtavus alles pärast masina käivitamist. Registrivõti või sarnane trigger käivitab FlowCloudi mõne aja pärast bootimist.

Andmete varastamise mehhanismid

Kui ohvrid järgmisel hommikul oma laptopid sisse lülitasid, aktiveerus FlowCloud automaatselt. See tähendas, et rünnajatel oli nüüd täielik kontroll masina üle, ilma et kasutaja oleks märkis midagi ebatavalist. Malware hakkas tegutsema taustas, kasutades mitmeid meetodeid info kogumiseks.

Peamised funktsioonid, mida FlowCloud kasutas, olid:

• Keylogging, mis salvestas kõik klaviatuurilt sisestatud märgid, sealhulbe paroolid.
• Ekraanipiltide püümine, et näha reaalajas, mida juht vaatab.
• Failide kogumine ja nende edastamine rünnajatel kontrollitavale serverile.
• Kasutaja credentials'ide korjamise protsessid.

Füüsilise turvalisuse kriitiline roll

CrowdStrike jälgib kokku 290 nimetatud vastasegruppi ja Meyersi sõnul on füüsilised operatsioonid nende seas haruldased. Enamik rünnaja eelistab riskivaba teed läbi interneti. Kuid see juhtum näitab, et riigiga seotud luureteenistused on valmis kasutama spionaaži meetodeid, mis meenutavad külma sõja ajast – sissemurdmine ja seadmete manipuleerimine kohapeal.

See rünnakusarja taktika on eriti ohtlik, kuna see mööb palju tavalisi tarkvaralisi kaitsemeetmeid. Kui rünnaja saab bootida masina välise meediumi abil, saab ta mööda minna operatsioonisüsteemi sisekaitsetest, kui BIOS/UEFI ei ole lukustatud või kui boot-järjekord ei ole piiratud. Ettevõtted, kes keskenduvad ainult tulemüüridele ja antivirusile, jäävad sellise rünnaku eest kaitsetuks.

Kuidas vältida sissejutmisrünnakuid

Kuigi sissemurdmist hotellituppa ei saa täielikult digitaalselt takistada, on olemas tehnilised meetmed, mis muudaksid sellise rünnaku läbimätumatuks. Esiteks on kriitiline kasutada täistamiskrüptimist (Full Disk Encryption), mis takistab andmetele ligipääsu ilma õige paroolita, isegi kui masina bootitakse välise seadme abil.

Teiseks tuleb lukustada BIOS/UEFI seaded parooliga ja keelata bootimine USB-st või muudest välisest seadmetest. Kolmandaks on oluline teadlikkus: juhtidele, kes reisivad kõrge riski piirkondadesse, tuleks anda juhised seadmete turvalise hoiustamise kohta, näiteks kasutusse võtta hotellituba kessas on turvaline kast. Novalogiq ja teised turvalisuse analüütikud rõhutavad, et tehniline kaitse peab käima käsi füüsilise distsipliiniga.

Mida see tähendab Eesti ja Balti riikide ettevõtetele

Eesti on tuntud kui e-riik ja meie ettevõtted on digitaalselt üks arenumaid maailmas. Kuid just see kõrge digitaliseerimisaste teeb meid haavatavaks, kui me unustame füüsilise turvalisuse. Balti riikide ettevõtjad, kes tegelevad rahvusvahelise äri ja külastavad konverentse Aasia või teiste kõrge riski piirkondades, peavad mõistma, et nende laptop on luureteenistuste jaoks väärtuslik sihtruut.

Kontekstis, kus Euroopa Liit rakendab AI Acti ja rangema andmekaitse režiime, muutub andmete lekke tõlgendus veelgi tõsisemaks. Kui ettevõtte juhtide seadmed kompromiteerutakse, ei lekki vaid ärisaladused, vaid võib ohuks sattuda ka kriitiline infrastruktuur või riiklikud huvid, eriti arvestades Baltiumi geopoliitilist asukoha ja tihedat koostööd NATO-ga. Eestis on e-valitsuse ökosüsteem muutnud meid tõenäoliselt tehniliselt ettevalmistatudeks, kuid overconfidence võib olla meie nõrmus. Meie ettevõtted ei saa tugineda ainult sellele, et tarkvara on uuendatud; on vaja rakendada null-usaldusmudelit (Zero Trust), mis hõlmab ka füüsilist ligipääsu kontrolli.

Korduma kippuvad küsimused

---

Allikad: Venturebeat, Aventure, Novalogiq ·