Ті самі цілі, нові плани дій: джерела загрози в Східній Азії застосовують унікальні методи

Група Gingham Typhoon атакує урядові, IT та міжнародні організації на островах південної частини Тихого океану

Протягом літа 2023 року команда Аналізу загроз Microsoft спостерігала активну діяльність китайської шпигунської групи Gingham Typhoon, яка атакувала майже всі острови в південній частині Тихого океану. Група Gingham Typhoon є найактивнішим джерелом загрози в цьому регіоні, і націлюється на міжнародні організації, урядові установи та ІТ-сектор за допомогою складних фішингових кампаній. Серед жертв групи також затяті критики китайського уряду.

Серед дипломатичних союзників Китаю, які нещодавно стали жертвами групи Gingham Typhoon, були державні установи, торгові агентства, інтернет-провайдери та транспортні компанії.

Ці наступальні кібердії можуть бути мотивовані посиленням геополітичної та дипломатичної конкуренції в регіоні. Китай прагне налагодити стратегічне партнерство з острівними країнами південної частини Тихого океану для розширення економічних зв’язків та укладення дипломатичних і безпекових угод. Китайське кібершпигунство в цьому регіоні також зачіпає економічних партнерів.

Наприклад, китайські джерела загрози здійснили великомасштабні атаки на міжнародні організації в Папуа-Новій Гвінеї, яка є давнім дипломатичним партнером і отримує вигоду від багатьох проектів ініціативи "Один пояс, один шлях", зокрема будівництва великої автомагістралі, що з’єднує урядову будівлю Папуа-Нової Гвінеї з головною дорогою столиці.¹

На тлі військових навчань західних сил китайські джерела загрози продовжують зосереджуватись у Південно-Китайському морі

Джерела загрози, що діють із Китаю, продовжували атакувати організації, пов’язані з економічними та військовими інтересами Китаю в Південно-Китайському морі й навколо нього. Ці джерела загроз скористалися нагодою й уразили жертв з урядових і телекомунікаційних установ Асоціації держав Південно-Східної Азії (АСЕАН). Китайські державні джерела загрози виявили особливий інтерес до цілей, пов’язаних із численними військовими навчаннями США в регіоні. У липні 2023 року державна група Raspberry Typhoon, що базується за межами Китаю, успішно атакувала військові та командні структури в Індонезії та морську систему Малайзії за кілька тижнів до рідкісних багатосторонніх військово-морських навчань за участю Індонезії, Китаю та США.

Аналогічно, інше китайське джерело загрози, Flax Typhoon, атакувало організації, пов’язані з військовими навчаннями США та Філіппін. Тим часом угруповання Granite Typhoon, ще одне джерело загрози з боку Китаю, у цей період уразило телекомунікаційні організації в регіоні – в Індонезії, Малайзії, Філіппінах, Камбоджі й Тайвані.

Після публікації в блозі Microsoft про групу Flax Typhoon на початку осені та взимку 2023 року корпорація Майкрософт виявила нові цілі групи у Філіппінах, Гонконгу, Індії та США.² Це джерело загрози також часто атакує телекомунікаційний сектор, що часто призводить до багатьох наслідків.

У 2023 році джерела загрози з Північної Кореї викрали криптовалюту на сотні мільйонів доларів і здійснили атаки на ланцюжки постачання програмного забезпечення та атакували цілі, які сприймалися як вороги національної безпеки. Їхня діяльність приносить дохід уряду Північної Кореї – зокрема, для його збройової програми – і збирає розвіддані про США, Південну Корею та Японію.¹⁶

Північнокорейські джерела загрози викрали рекордну кількість криптовалюти, щоб отримати дохід для держави.

За оцінками ООН, з 2017 року північнокорейські джерела загрози викрали криптовалюту на суму понад 3 мільярди доларів США (USD).¹⁷ Лише у 2023 році скоєно крадіжки на загальну суму від 600 мільйонів до 1 мільярда доларів. Повідомляється, що з цих вкрадених коштів фінансується більше половини ядерних і ракетних програм країни, що дозволяє Північній Кореї розширювати та випробовувати свій арсенал зброї, незважаючи на санкції.¹⁸ За останній рік Північна Корея провела численні ракетні випробування та військові навчання й навіть успішно запустила в космос військовий розвідувальний супутник 21 листопада 2023 року.¹⁹

З червня 2023 року три джерела загрози, які відстежує корпорація Майкрософт (Jade Sleet, Sapphire Sleet і Citrine Sleet), найбільше зосереджені на цілях криптовалюти. Група Jade Sleet здійснювала великі крадіжки криптовалюти, а група Sapphire Sleet – дрібніші, але частіші крадіжки. Корпорація Майкрософт приписала групі Jade Sleet крадіжку щонайменше 35 мільйонів доларів в естонської криптовалютної компанії на початку червня 2023 року. Корпорація Майкрософт також приписала групі Jade Sleet крадіжку понад 125 мільйонів доларів із сінгапурської криптовалютної платформи через місяць. Група Jade Sleet почала уражати криптовалютні онлайн-казино в серпні 2023 року.

Група Sapphire Sleet неодноразово уражала багатьох працівників, зокрема керівників і розробників, у венчурних, криптовалютних та інших фінансових організаціях. Група Sapphire Sleet також розробила нові методи, такі як надсилання фальшивих запрошень на віртуальні наради з посиланнями на домени, що належать зловмисникам, і реєстрація фальшивих веб-сайтів із вакансіями. Група Citrine Sleet під час атаки на ланцюжок постачання 3CX у березні 2023 року уразила турецьку компанію з торгівлі криптовалютою й цифровими активами. Постраждала компанія розмістила вразливу версію програми 3CX, пов’язану з цим ураженням ланцюжка постачання.

Персоналізовані фішингові операції й атаки на ланцюжки постачання програмного забезпечення північнокорейських джерел загрози створюють небезпеку для ІТ-сектора

Північнокорейські джерела загрози також здійснили атаки на ланцюжки постачання програмного забезпечення ІТ-компаній, завдяки чому отримали доступ до кінцевих клієнтів. Група Jade Sleet використовувала репозиторії GitHub і заражені пакети npm у соціотехнічній персоналізованій фішинговій кампанії, націленій на працівників криптовалютних і технологічних організацій.²⁰ Зловмисники видавали себе за розробників або роботодавців, запрошували цілі до співпраці над репозиторієм GitHub і переконували їх клонувати й запускати вміст, що містить шкідливі пакети npm. У серпні 2023 року група Diamond Sleet уразила ланцюжок постачання німецької ІТ-компанії та заразила програму тайванської ІТ-компанії, щоб виконати атаку на ланцюжок постачання в листопаді 2023 року. Групи Diamond Sleet і Onyx Sleet використали вразливість TeamCity CVE-2023-42793 в жовтні 2023 року. Це дає зловмиснику змогу провести атаку віддаленого виконання коду й отримати адміністративне керування сервером. Група Diamond Sleet використовувала цю техніку, щоб уразити сотні цілей у різних галузях промисловості в США та країнах Європи, зокрема Великій Британії, Данії, Ірландії й Німеччині. Група Onyx Sleet використовувала ту саму вразливість, щоб уразити щонайменше10 жертв, зокрема постачальника програмного забезпечення в Австралії та державну установу в Норвегії, а потім запустив додаткові корисні навантаження за допомогою інструментів після ураження.

Північнокорейські джерела загрози націлилися на США, Південну Корею та їхніх союзників

Північнокорейські джерела загрози продовжували атакувати цілі, які сприймалися як вороги національної безпеки. Ці кібердії стали прикладом геополітичної мети Північної Кореї – протидії тристоронньому альянсу між США, Південною Кореєю та Японією. Лідери цих трьох країн зміцнили це партнерство на саміті в Кемп-Девіді в серпні 2023 року.²¹ Групи Ruby Sleet і Onyx Sleet продовжували атакувати аерокосмічні та оборонні організації в США та Південній Кореї. Група Emerald Sleet продовжила свою розвідувальну та персоналізовану фішингову кампанію, націлену на дипломатів і експертів із Корейського півострова в державних адміністраціях, аналітичних центрах/НУО, ЗМІ й освітніх установах. У червні 2023 року група Pearl Sleet продовжувала атакувати південнокорейські організації, які працюють із північнокорейськими перебіжчиками та правозахисниками в Північній Кореї. Корпорація Майкрософт вважає, що мотивом цих дій є збір розвідувальної інформації

Північнокорейські джерела загрози розгортають люки в законному програмному забезпеченні

Північнокорейські джерела загрози також використовували люки в законному програмному забезпеченні завдяки вразливостям у наявному програмному забезпеченні. У першій половині 2023 року група Diamond Sleet часто використовувала заражену зловмисну програму VNC для ураження жертв. У липні 2023 року група Diamond Sleet знову почала використовувати заражену зловмисну програму для роботи з PDF-файлами – набір методів, проаналізованих Центром аналізу загроз Microsoft у дописі в блозі за вересень 2022 року.²² Група Ruby Sleet, імовірно, також використала інсталятор-люк південнокорейської програми електронних документів у грудні 2023 року.

Північна Корея використовує інструменти ШІ, щоб здійснювати зловмисну кібердіяльність

Північнокорейські джерела загрози пристосовуються до епохи штучного інтелекту. Вони вчаться використовувати інструменти великих мовних моделей (LLM) на основі штучного інтелекту, щоб проводити ефективніші й дієвіші операції. Наприклад, корпорація Майкрософт і компанія OpenAI спостерігали, як група Emerald Sleet використовує великі мовні моделі, щоб посилити персоналізовані фішингові кампанії, націлені на експертів Корейського півострова.²³ Група Emerald Sleet використовувала великі мовні моделі, щоб виявляти вразливості та збирати розвідувальну інформацію про організації та експертів, які мають справу з Північною Кореєю. Група Emerald Sleet також використовувала великі мовні моделі для вирішення технічних проблем, виконання основних завдань із написання сценаріїв і підготовки вмісту для персоналізованих фішингових повідомлень. Корпорація Майкрософт співпрацює з OpenAI, щоб видалити облікові записи й ресурси, пов’язані з групою Emerald Sleet.