ESET выпускает отчет об APT-активностях, в котором освещаются действия субъектов угроз, связанных с Россией, Северной Кореей, Ираном и Китаем, включая атаки на аэрокосмическую и оборонную промышленность

В дополнение к успешному отчету ESET об угрозах исследовательская компания ESET выпускает отчет об активности ESET APT, целью которого является периодический обзор выводов ESET о действиях групп продвинутых постоянных угроз (APT). В первом выпуске, охватывающем T2 2022 (май-август 2022 г.), ESET Research не обнаружила снижения активности APT со стороны злоумышленников, связанных с Россией, Китаем, Ираном и Северной Кореей. Даже спустя более восьми месяцев после российского вторжения Украина по-прежнему остается главной целью связанных с Россией групп APT, таких как печально известная Sandworm, а также Gamaredon, InvisiMole, Callisto и Turla. Аэрокосмическая и оборонная промышленность, а также финансовые и криптовалютные фирмы и биржи по-прежнему вызывают большой интерес у групп, связанных с Северной Кореей.

- ESET запускает новый отчет об активности APT; первый выпуск охватывает период с мая по август 2022 г. (T2 2022 г.).
- ESET Research не заметила снижения активности групп APT, связанных с Россией, Китаем, Ираном и Северной Кореей.
- Спустя восемь месяцев после вторжения Украина по-прежнему остается главной мишенью пророссийских группировок.
- Аэрокосмическая и оборонная промышленность по-прежнему представляют большой интерес для групп, связанных с Северной Кореей, наряду с финансовыми и криптовалютными фирмами и биржами.
- Группы, связанные с Китаем, смогли использовать различные уязвимости и ранее неизвестные бэкдоры.
- Растущее число связанных с Ираном групп продолжало сосредотачивать свои усилия в основном на различных израильских вертикалях.

«Мы заметили, что в T2 2022 несколько группировок, связанных с Россией, использовали российскую мультиплатформенную службу обмена сообщениями Telegram для доступа к командным серверам или в качестве инструмента для утечки информации. Злоумышленники из других регионов также пытались получить доступ к украинским организациям как для кибершпионажа, так и для кражи интеллектуальной собственности», — уточняет Жан-Иан Бутен, директор ESET Threat Research.

«Аэрокосмическая и оборонная промышленность по-прежнему представляет интерес для групп, связанных с Северной Кореей — Лазарус нацелился на сотрудника аэрокосмической компании в Нидерландах. Согласно нашему исследованию, группа злоупотребила уязвимостью в законном драйвере Dell, чтобы проникнуть в компанию, и мы считаем, что это первое зарегистрированное злоупотребление этой уязвимостью в дикой природе», — продолжает Бутин.

Финансовые учреждения и организации, работающие с криптовалютой, стали мишенью для связанных с Северной Кореей кампаний Kimsuky и двух кампаний Lazarus. Одна из них, названная исследователями ESET Operation In(ter)ception, отклонилась от своей обычной таргетинга на аэрокосмическую и оборонную промышленность, когда нацелилась на человека из Аргентины с вредоносным ПО, замаскированным под предложение о работе в Coinbase. ESET также обнаружила, что Konni использует технику, которую в прошлом использовал Lazarus — троянизированную версию программы просмотра PDF-файлов Sumatra.
Группы, связанные с Китаем, оставались очень активными, используя различные уязвимости и ранее неизвестные лазейки. ESET обнаружила вариант бэкдора для Linux, который SparklingGoblin использовал против гонконгского университета. Та же группа использовала уязвимость Confluence, чтобы атаковать компанию по производству продуктов питания в Германии и инженерную компанию в США. ESET Research также подозревает, что уязвимость ManageEngine ADSelfService Plus стоит за компрометацией американского оборонного подрядчика, чьи системы были взломаны всего через два дня после публичного раскрытия уязвимости. В Японии исследование ESET выявило несколько кампаний MirrorFace, одна из которых была напрямую связана с выборами в Палату советников.
Растущее число связанных с Ираном групп продолжало сосредотачивать свои усилия в основном на различных израильских вертикалях. Исследователи ESET смогли приписать POLONIUM кампанию, нацеленную на дюжину организаций в Израиле, и выявить несколько ранее незадокументированных бэкдоров. Организации, связанные с алмазной промышленностью в Южной Африке, Гонконге и Израиле, стали мишенью Agrius в ходе того, что ESET Research считает атакой на цепочку поставок со злоупотреблением израильским программным комплексом, используемым в этой вертикали. В ходе другой кампании в Израиле были обнаружены индикаторы возможного совпадения использования инструментов между группами MuddyWater и APT35. ESET Research также обнаружила новую версию вредоносного ПО для Android в ходе кампании, проведенной группой APT-C-50; он распространялся подражателем иранского веб-сайта и имел ограниченную шпионскую функциональность.