Chińska grupa zaatakowała placówki w Belgii i na Węgrzech

Wspomniana grupa w okresie wrzesień-październik 2025 r. prowadziła skoordynowaną i zaawansowaną technicznie kampanię cyberszpiegowską. Celem były europejskie placówki dyplomatyczne, a wysiłki były głównie skierowane na instytucje na Węgrzech i w Belgii.

Firma Arctic Wolf zidentyfikowała tę kampanię i wskazała, że za działaniami najprawdopodobniej stoi grupa powiązana z chińskim aparatem państwowym.

Spearphishing i luka ZDI-CAN-25373

Jak wykazało badanie, ataki rozpoczynały się wiadomościami e-mail typu spearphishing, które są pierwszym krokiem w procesie dostarczania złośliwego pliku LNK. Grupa wykorzystywała podatność ZDI-CAN-25373. Po uruchomieniu exploit pozwalał na ukryte wywołanie i wykonywanie poleceń PowerShell oraz zainstalowanie złośliwych plików.  Ta podatność, jak wskazuje Arctic Wolf, jest często wykorzystywana przez grupy z Korei Północnej, Chin, Rosji czy Iranu, w celu szpiegostwa i kradzieży danych.

Najczęściej złośliwe pliki LNK wykorzystują tematykę konferencji dyplomatycznych, spotkań Komisji Europejskiej oraz warsztatów NATO dotyczących zamówień publicznych, ponieważ celem grupy stały się osoby zaangażowane w politykę zagraniczną czy sprawy obronne.

Użytkownicy na ekranie widzą PDF z fałszywym dokumentem, jak na przykład poniżej agenda spotkania KE zaplanowanego na 25 września 2025 roku. Odbiorcy widząc dokument nie podejrzewają, że w tle mogą być instalowane złośliwe pliki.

Zainstalowane oprogramowanie umożliwia atakującym wykradanie tajnych lub poufnych dokumentów, obserwację toczących się dyskusji politycznych i decyzji, zdobywanie poświadczeń dostępu do systemów dyplomatycznych oraz monitorowanie terminarzy i wyjazdów służbowych.

Chińska grupa w centrum cyberataku na dyplomację

Badania wykazały, że „z dużą pewnością” za kampanią cyberszpiegowską stoi UNC6384. Jest to grupa powiązana z Chinami.

„Atrybucja ta opiera się na wielu zbieżnych dowodach, w tym na narzędziach, procedurach, zbieżności celów oraz pokrywaniu się infrastruktury z wcześniej udokumentowanymi operacjami UNC6384” – wskazuje Arctic Wolf.