Chińscy cyberprzestępcy powiązani z grupą APT41 znaną jako RedFly włamali się do infrastruktury energetycznej jednego z krajów Azji. W sieci zaatakowanego operatora krytycznie ważnych usług przebywali co najmniej pół roku.
Eksperci ds. cyberbezpieczeństwa z firmy Symantec wykryli atak chińskich cyberprzestępców na jednego z operatorów infrastruktury energetycznej w kraju znajdującym się w Azji. Zespół badawczy nie ujawnił, o który kraj chodzi - jednak aktywność cyberprzestępców wiązana jest z grupą APT41 znaną jako RedFly.
Magazyn "Wired" informujący o sprawie pisze, że działający na zlecenie Pekinu sprawcy złamali zabezpieczenia sieci komputerowej operatora narodowej infrastruktury energetycznej w jednym z państw Azji w lutym tego roku . W sieci ofiary pozostawali przez co najmniej sześć miesięcy i stopniowo poszerzali zakres zasobów, do których zdobywali dostęp. Nie jest przy tym jasne, jak wiele dzieliło cyberprzestępców od możliwości zakłócenia działania sieci energetycznej np. poprzez wywołanie blackoutu.
Strategiczne interesy
Kraj, którego operatora sieci energetycznej zaatakowali chińscy cyberprzestępcy, ma mieć strategiczne znaczenie dla Pekinu - uważają eksperci Symanteca. Jednocześnie firma podkreśla, że nie ma bezpośrednich dowodów na to, że sprawcy ataku byli zainteresowani wywołaniem blackoutu - a przynajmniej, że to było ich głównym celem działań.
Nie sabotaż, a szpiegostwo mogło być intencją cyberprzestępców - bo Pekin właśnie tym sposobem realizuje swoje cele polityczne, jak i zdobywa dane o wartości wywiadowczej, przekładające się na korzyści militarne jak i gospodarcze.
Inną opinię na ten temat ma należąca do Google'a firma Mandiant. Jej eksperci wskazują, że za cyberatakiem na infrastrukturę energetyczną jednego z państw Azji mogą stać ci sami powiązani z Pekinem sprawcy, którzy wcześniej już atakowali podobne podmioty w Indiach.
Ostrzeżenie
Przed ryzykiem wzrostu aktywności chińskich cyberprzestępców, których działania są ukierunkowane na ataki na sektor energetyczny, ostrzegał koncern Microsoft oraz rządowe agencje USA: CISA i NSA. Ich eksperci podkreślali, że aktywna jest grupa Volt Typhoon, która zdołała spenetrować amerykańską sieć elektroenergetyczną. Pisaliśmy o tym m.in. w kontekście chińskiej aktywności na Guamie .
Zdaniem amerykańskich organów, wzmożona aktywność Chin w tym obszarze geograficznym ma związek z możliwymi przygotowaniami do konfliktu i eskalacji napięć wokół Tajwanu, a urzędnicy USA obawiali się przede wszystkim złośliwego oprogramowania, które - dobrze ukryte w zaatakowanych przez Chiny sieciach - mogłoby posłużyć do odcięcia od energii elektrycznej amerykańskich baz na Guamie.
Dlaczego sektor energetyki?
"Wired" pisze, że zainteresowanie Chin atakami na sektor energetyki wzrosło ponownie ok. dwa lata temu. Wówczas to firma Recorded Future ostrzegała przed złośliwym oprogramowaniem zaszytym przez cyberprzestępców działających dla Pekinu w sieciach operatora energetyki w Indiach, a także w portach morskich oraz infrastrukturze sieciowej kolei. Miało to ścisły związek z coraz bardziej napiętymi stosunkami obu państw.
Eksperci Recorded Future wskazywali, że celem Chińczyków jest przede wszystkim uzyskanie możliwości wywoływania blackoutów w atakowanych krajach. Ówczesne cyberataki oprócz tego stanowiły jednak jasny przekaz: Pekin może zadziałać i to nie tylko w konwencjonalny sposób.
Według specjalistów, niektóre dowody wiążą cyberataki z 2021 r. w Indiach z tym, który opisujemy w tym tekście. Najprawdopodobniej stoją za nimi ci sami sprawcy, powiązani z grupą APT41, która stanowi wspólny mianownik dla licznych cyberprzestępców działających na zlecenie Pekinu, również w ramach mniejszych ugrupowań. Wskazują na to ślady złośliwego oprogramowania ShadowPad, z którego APT41 korzystała w 2017 r., jak i wspólny serwer służący do kontrolowania malware - Websencl.com.
Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].
