„Ruscy” cyberszpiedzy nie zwalniają – oto kulisy ataków na Polskę
W ostatnim okresie analitycy ESET odnotowali nasilające się działania cyberszpiegów z rosyjskich grup APT. Najczęściej atakowane były instytucje rządowe i obronne, a także firmy z sektora technologicznego i transport. Analitycy zdradzili kulisy ataków, prezentując przykłady i schematy działań konkretnych ataków.
Cyfrowe oblicze wojny
Analitycy ESET podsumowali działania grup APT. W odniesieniu do poprzedniej edycji raportu wciąż najbardziej aktywne pozostają grupy powiązane z Chinami (odpowiadają za 40,1% działań) oraz Rosją (25,7%). Zauważalna jest również aktywność grup powiązanych z Koreą Północną (14,4%) oraz Iranem (9,1%).
Robią to głównie w celu długoterminowego cyberszpiegostwa i kradzieży poufnych danych. Ugrupowania APT dysponują dużą wiedzą, zaawansowanymi narzędziami i technikami oraz ogromnymi budżetami.
Kamil Sadkowski, analityk laboratorium antywirusowego ESET:
Nasz raport pokazuje, że w całej Europie to podmioty rządowe pozostawały głównym celem działań szpiegowskich prowadzonych przez grupy APT, podczas gdy na pozostałych kontynentach kluczowym celem ataków jest sektor technologiczny.
Z długofalową kampanią
Jedną z najbardziej znaczących w ubiegłym roku była operacja RoundPress. Przeprowadzona prawdopodobnie przez rosyjską grupę cyberszpiegowską Sednit kampania rozpoczęła się jeszcze w 2023 roku i była kontynuowana w 2024 roku, obejmując swoim zasięgiem instytucje rządowe i zbrojeniowe głównie w Europie Środkowo-Wschodniej.
Szczególnie niepokojące jest ukierunkowanie ataków na podmioty zaangażowane w produkcję i dostawy uzbrojenia dla Ukrainy, co wskazuje na strategiczne cele działań hakerskich. Analitycy ESET wskazują na powiązania operacji RoundPress z rosyjskim wywiadem wojskowym GRU.
A zaczyna się od phishingu
Wiadomość e-mail na ogół wygląda na nieszkodliwą i zawiera tekst dotyczący bieżących wydarzeń. Przykładowo, we wrześniu 2024 roku grupa Sednit rozesłała wiadomość phishingową z adresu kyivinfo24@ukr[.]net, której temat brzmiał: „SBU zatrzymała bankiera, który pracował dla wrogiego wywiadu wojskowego w Charkowie”.
Inne, podobne działanie było wymierzone przeciw bułgarskim użytkownikom sieci.
Gamaredon – grupa nadal jest aktywna
Swoje działania wciąż kontynuuje Gamaredon, jedna z najbardziej aktywnych rosyjskich grup APT. Ich działania stały się bardziej zaawansowane i wykorzystują nowe techniki zaciemniania kodu, np. dodawanie w kodzie adresów fałszywych serwerów zdalnej kontroli, aby utrudnić analizę. W październiku 2024 roku zanotowano rekordową liczbę unikalnych próbek złośliwego oprogramowania tej grupy.
Dodajmy, że także Mustang Panda nadal intensywnie atakuje europejskie organizacje i jest najbardziej aktywną grupą powiązaną z Chinami, jaką widzieliśmy działającą w Europie. Grupa wciąż koncentruje się na sektorze transportu morskiego i organizacjach rządowych, a jej celami były m.in. Polska, Wielka Brytania i Norwegia.
***
economista.pl to serwis ekonomiczny prezentujący rzetelne analizy, dane i informacje finansowe dotyczące gospodarki, finansów, technologii czy rynku nieruchomości. Od blisko 4 lat prowadzony przez doświadczonych dziennikarzy ekonomicznych. Osoby i firmy zainteresowane współpracą zapraszamy do kontaktu na adres:
