Китайская кибершпионская операция нацелилась на армии стран Юго-Восточной Азии

Киберразведывательная группа, предположительно связанная с Китаем, на протяжении нескольких лет проводит масштабную операцию по проникновению в сети военных организаций стран Юго-Восточной Азии. Об этом сообщает компания Palo Alto Networks, которая отслеживает активность хакерского кластера CL-STA-1087. По оценке специалистов, кампания ведётся как минимум с 2020 года и носит характер долгосрочного шпионажа.

По данным исследователей, злоумышленники после проникновения могли оставаться незаметными в сетях жертв в течение месяцев, прежде чем возобновлять активные действия. Их основной целью был сбор узкоспециализированной информации — документов о военных возможностях, структуре командования, а также о сотрудничестве армий региона с западными вооружёнными силами.

В ходе атак использовались собственные вредоносные инструменты, включая бэкдоры AppleChris и MemFun, а также инструмент для кражи учётных данных Getpass, основанный на модифицированной версии Mimikatz. Хакеры запускали вредоносные PowerShell-скрипты, создававшие обратные соединения с серверами управления, после чего распространяли вредоносное ПО по сети через WMI и стандартные команды Windows.

Для закрепления в системе злоумышленники создавали новые сервисы и размещали вредоносные библиотеки DLL в системных каталогах, используя технику DLL hijacking. После перемещения по сети они искали документы с данными о стратегиях, системах командования и управления, а также о комплексах C4I (командование, управление, связь, компьютеры и разведка).

Исследование также выявило, что вредоносные программы взаимодействовали с инфраструктурой управления через сервисы Pastebin и Dropbox, используемые для передачи команд. Дополнительным косвенным признаком китайского происхождения операции специалисты считают совпадение графика активности хакеров с рабочими часами в часовом поясе UTC+8, использование китайских облачных ресурсов и элементы упрощённого китайского языка в инфраструктуре управления.

По оценке Palo Alto Networks, кампания остаётся активной, а её методы указывают на государственную поддержку и долгосрочные разведывательные задачи. Основная цель операций — получение стратегической информации о военных структурах и международном сотрудничестве стран региона.

#Китай
😎 Лаборатория