25台のPAN-OSがroot化される

この作戦が際立つのは、目新しい脆弱性よりもその準備にある。Dreamによれば、攻撃者はPAN-OSのファームウェアを入手して復号し、PHPライブラリを抽出して、テストしたPAN-OSのバージョンごとに11個のJSONバージョンプロファイルファイルを作成した。各ファイルにはオフセット、SHA256ハッシュ、実験室でのテストを通じて調整したメモリジオメトリのパラメータが含まれていた。この投資により、攻撃自体は240台の標的に対して自動バッチで実行でき、5台ずつ、標的ごとに30分のタイムアウトで処理された。

標的の絞り込みも同様に意図的だった。FOFAで約19,000の公開管理インターフェースを洗い出し、200スレッドのスキャナーでバージョン情報を報告する稼働端末約5,000台に絞り、地理的・バージョンによるフィルタリングで240台にまで減らした。Dreamは、選ばれた4カ国が太平洋戦域における中国の国家系作戦の主要な戦略的敵対国かつ諜報標的であると指摘し、国家主体の敵対者の取り組みを示唆する可能性があるとしつつ、この活動を特定の脅威アクターに帰属させるものではないと付け加えている。Palo Alto NetworksのUnit 42はこれをCL-UNK-1280として追跡し、UTC+8のタイムゾーンにいる中国語話者の攻撃者に帰属させている。

Dreamが回収できなかったのは、後続段階の結果だ。全ドメインユーザーに対するパスワードスプレー、バックドアのユーザーアカウントとマシンアカウントの作成の試み、SAML署名鍵の抽出はすべて管理サーバーから実行されたが、その出力は同サーバーのローカルファイルシステム上に留まり、痕跡には含まれていなかった。Dreamは、侵害の全容を特定できないと明言しており、持続的なトンネルとrootウェブシェルは依然として有効である可能性が高いとしている。