Rosyjska firma ujawnia działania APT41 w Afryce

Jak podaje Mitre, APT41, znane również jako Wicked Panda, to chińska grupa szpiegowska sponsorowana przez państwo, aktywna od co najmniej 2012 r. Dotychczas jej działania wymierzone były w sektor opieki zdrowotnej, telekomunikacyjny, technologiczny, finansowy, edukacyjny, detaliczny oraz branżę gier wideo w 14 krajach.

Kaspersky na tropie chińskiego szpiegostwa

Kaspersky Lab to rosyjskie przedsiębiorstwo, zajmujące się tworzeniem oprogramowania zabezpieczającego komputery, m.in. oprogramowania antywirusowego.

Chińskojęzyczna grupa APT41, powiązana z aparatem państwowym Chińskiej Republiki Ludowej, przeprowadziła zaawansowany atak cyberszpiegowski na południowoafrykańską instytucję rządową – poinformował Kaspersky. To jeden z pierwszych tak wyraźnych przypadków działań tej grupy w południowej części kontynentu, który może oznaczać rozszerzenie ich zasięgu operacyjnego.

Techniki ataku

Zgodnie z raportem Kaspersky, atak skierowany był na systemy IT państwowej jednostki administracyjnej. Cyberprzestępcy dążyli do uzyskania dostępu do kont o wysokich uprawnieniach, dokumentacji wewnętrznej, danych logowania oraz korespondencji e-mail.

W wyniku działań APT41, hakerzy zdołali przejąć kontrolę nad co najmniej dwoma kontami:

• kontem administratora z szerokim dostępem do sieci wewnętrznej,
• kontem usługowym z uprawnieniami domenowymi, wykorzystywanym do operacji backupowych.

Eksperci Kaspersky sugerują, że wektorem wejścia był niezabezpieczony serwer publicznie wystawiony do sieci. Po uzyskaniu dostępu, grupa APT41 użyła technik takich jak:

• registry dumping – do pozyskania poświadczeń zapisanych w rejestrze systemowym,
• lateral movement – do poruszania się po infrastrukturze IT instytucji,
• eksfiltracja danych – w celu transferu wrażliwych informacji poza środowisko ofiary.

To działania wpisujące się w znany schemat operacyjny APT41, który łączy zaawansowane techniki ofensywne z rozpoznaniem sieci i długotrwałą obecnością w środowisku celu.

Działania APT41 w południowej Afryce są kolejnym sygnałem, że cyberprzestrzeń staje się areną globalnych operacji wywiadowczych i geopolitycznej rywalizacji. Państwa rozwijające się, które dynamicznie cyfryzują usługi publiczne, stają się atrakcyjnymi celami – zwłaszcza dla grup posiadających wsparcie państwowe.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].