Същите цели, нови наръчници: Извършителите, представляващи заплаха от източна Азия използват уникални методи

Gingham Typhoon е насочен към правителствени, ИТ и мултинационални структури на островите в южната част на Тихия океан

През лятото на 2023 г. Наборът от ресурси на Microsoft срещу заплахи наблюдава широка дейност от базираната в Китай шпионска група Gingham Typhoon, която е насочена към почти всички държави от Южните тихоокеански острови. Gingham Typhoon е най-активният участник в този регион, като поразява международни организации, правителствени структури и ИТ сектора със сложни фишинг кампании. Сред жертвите са и гласовити критици на китайското правителство.

Дипломатическите съюзници на Китай, които станаха жертви на неотдавнашната активност на Gingham Typhoon, включват изпълнителни служби в правителството, отдели, свързани с търговията, доставчици на интернет услуги, както и транспортна структура.

Засилената геополитическа и дипломатическа конкуренция в региона може да е мотив за тези офанзивни кибердейности. Китай се стреми към стратегически партньорства с островни държави от южната част на Тихия океан с цел разширяване на икономическите връзки и сключване на дипломатически споразумения и споразумения за сигурност. Китайският кибершпионаж в този регион също следва икономическите партньори.

Например китайските действащи лица са участвали в широкомащабни атаки срещу многонационални организации в Папуа Нова Гвинея – дългогодишен дипломатически партньор, който се възползва от множество проекти по инициативата „Пояс и път“ (BRI), включително изграждането на голяма магистрала, която свързва правителствена сграда в Папуа Нова Гвинея с главния път на столицата.¹

Китайските участници в заплахите запазват фокуса си върху Южнокитайско море на фона на западните военни учения

Базираните в Китай участници в заплахи продължават да се насочват към структури, свързани с икономическите и военните интереси на Китай в и около Южнокитайско море. Тези участници компрометираха правителствени и телекомуникационни жертви в Асоциацията на страните от Югоизточна Азия (АСЕАН). Свързаните с китайската държава кибератаки изглеждаха особено заинтересовани от цели, свързани с многобройните военни учения на САЩ, провеждани в региона. През юни 2023 г. Raspberry Typhoon, група за национална активност, базирана в Китай, успешно атакува военни и изпълнителни структури в Индонезия и малайзийска морска система в седмиците преди рядко многостранно военноморско учение с участието на Индонезия, Китай и САЩ.

По подобен начин субекти, свързани с военни учения между САЩ и Филипините, бяха обект на атаки от страна на друго китайско действащо лице в киберпространството – Flax Typhoon. Същевременно Granite Typhoon, още един китайски участник в заплахи, през този период компрометира предимно телекомуникационни структури в региона, като жертвите са в Индонезия, Малайзия, Филипините, Камбоджа и Тайван.

След публикуването на блога на Microsoft за  Flax Typhoon, Microsoft наблюдава нови цели на Flax Typhoon във Филипините, Хонконг, Индия и Съединените щати в началото на есента и зимата на 2023 г.² Този актьор също така често атакува телекомуникационния сектор, което често води до множество последващи ефекти.

През 2023 г. севернокорейските участници в киберзаплахи откраднаха стотици милиони долари в криптовалута, извършиха атаки по веригата за доставка на софтуер и се насочиха към предполагаемите си противници в областта на националната сигурност. Техните операции генерират приходи за севернокорейското правителство - особено за оръжейната му програма – и събират разузнавателна информация за Съединените щати, Южна Корея и Япония.¹⁶

Севернокорейски кибер участници заграбват рекордно количество криптовалута, за да генерират приходи за държавата.

По оценки на ООН от 2017 г. насам севернокорейските кибер участници са откраднали над 3 млрд. щатски долара в криптовалута.¹⁷ Само през 2023 г. са извършени кражби на обща стойност между 600 млн. и 1 млрд. щатски долара. Съобщава се, че с тези откраднати средства се финансира над половината от ядрената и ракетната програма на страната, което дава възможност на Северна Корея да разпространява и тества оръжия въпреки санкциите.¹⁸ През изминалата година Северна Корея проведе многобройни ракетни изпитания и военни учения и дори успешно изстреля военен разузнавателен спътник в космоса на 21 ноември 2023 г.¹⁹

Трима участници в заплахи, проследени от Microsoft – Jade Sleet, Sapphire Sleet и Citrine Sleet - се фокусираха най-много върху цели, свързани с криптовалута, от юни 2023 г. насам. Jade Sleet е извършвала големи обири на криптовалута, докато Sapphire Sleet е провеждала по-малки, но по-чести операции за кражба на криптовалута. Microsoft приписва на Jade Sleet кражбата на поне 35 млн. USD от базирана в Естония фирма за криптовалути в началото на юни 2023 г. Microsoft приписва на Jade Sleet и кражбата на над 125 USD долара от базирана в Сингапур платформа за криптовалути месец по-късно. Jade Sleet започва да компрометира онлайн казина за криптовалута през август 2023 г.

Sapphire Sleet последователно компрометира многобройни служители, включително ръководители и разработчици в организации за криптовалути, рисков капитал и други финансови организации. Sapphire Sleet също така разработи нови техники, като например изпращане на фалшиви покани за виртуални срещи, съдържащи връзки към домейна на атакуващия, и регистриране на фалшиви уебсайтове за набиране на персонал. Citrine Sleet последва атаката от март 2023 г. по веригата за доставки на 3CX, като компрометира фирма за криптовалути и цифрови активи, базирана в Турция, която е надолу по веригата. Жертвата е хоствала уязвима версия на приложението 3CX, свързана с компрометирането на веригата за доставки.

Севернокорейски участници в кибератаки заплашват ИТ сектора със спиърфишинг и атаки по веригата за доставки на софтуер

Севернокорейски участници в заплахите също така извършиха атаки по веригата за доставка на софтуер на ИТ фирми, което доведе до достъп до клиенти надолу по веригата. Jade Sleet използва репозиториуми GitHub и оръжейни пакети npm в социално-инженерна спиърфишинг кампания, насочена към служители на организации, занимаващи се с криптовалути и технологии.²⁰ Атакуващите се представяха за разработчици или специалисти по подбор на персонал, приканваха целите да си сътрудничат с репозиториум GitHub и ги убеждаваха да клонират и изпълняват съдържанието му, което съдържаше зловредни пакети npm. Diamond Sleet извърши компрометиране на веригата за доставки на базирана в Германия ИТ компания през август 2023 г. и въоръжи приложение от базирана в Тайван ИТ фирма, за да извърши атака по веригата за доставки през ноември 2023 г. Както Diamond Sleet, така и Onyx Sleet използваха уязвимостта TeamCity CVE-2023- 42793 през октомври 2023 г., която позволява на нападателя да извърши атака с отдалечено изпълнение на код и да получи административен контрол над сървъра. Diamond Sleet използва тази техника, за да компрометира стотици жертви от различни индустрии в САЩ и европейски държави, включително Обединеното кралство, Дания, Ирландия и Германия. Onyx Sleet използва същата уязвимост, за да компрометира поне 10 жертви, включително доставчик на софтуер в Австралия и правителствена агенция в Норвегия и използва инструментариум след компрометирането, за да изпълни допълнителен полезен товар.

Севернокорейски участници в кибератаки се насочиха към Съединените щати, Южна Корея и техните съюзници

Севернокорейски участници в заплахи продължиха да се насочват към своите предполагаеми противници в областта на националната сигурност. Тази кибернетична дейност е пример за геополитическата цел на Северна Корея да противодейства на тристранния съюз между Съединените щати, Южна Корея и Япония. Лидерите на трите държави затвърдиха това партньорство по време на срещата на върха в Кемп Дейвид през август 2023 г.²¹. Ruby Sleet и Onyx Sleet продължават тенденциите си да се насочват към аерокосмически и отбранителни организации в САЩ и Южна Корея. Emerald Sleet продължи кампанията си за разузнаване и спиърфишинг, насочена към дипломати и експерти по Корейския полуостров в правителството, мозъчните тръстове/неправителствените организации, медиите и образованието. През юни 2023 г. Pearl Sleet продължи операциите си, насочени към южнокорейски организации, които взаимодействат със севернокорейски дезертьори и активисти, фокусирани върху въпросите на човешките права в Северна Корея. Microsoft оценява, че мотивът зад тези дейности е събирането на разузнавателна информация.

Севернокорейски участници внедряват задни вратички в легитимен софтуер

Севернокорейски участници в заплахи използват и задни вратички в легитимен софтуер, възползвайки се от уязвимостите в съществуващия софтуер. През първата половина на 2023 г. Diamond Sleet често е използвала въоръжен VNC зловреден софтуер, за да компрометира жертвите. През юли 2023 г. Diamond Sleet също така възобнови използването на въоръжен зловреден софтуер за четене на PDF файлове – техники, които Наборът от ресурси на Microsoft срещу заплахи анализира в публикация в блога от септември 2022 г.²² Ruby Sleet също така вероятно е използвал през декември 2023 г. задна вратичка за инсталиране на южнокорейска програма за електронни документи.

Северна Корея е използвала инструменти за изкуствен интелект, за да даде възможност за злонамерени кибернетични дейности

Севернокорейските участници в заплахи се адаптират към ерата на изкуствения интелект. Те се научават да използват инструменти, задвижвани от големи езикови модели на ИИ (LLM), за да направят операциите си по-ефективни и ефикасни. Например Microsoft и OpenAI наблюдават, че Emerald Sleet използва LLM, за да подобри спиърфишинг кампаниите, насочени към експерти от Корейския полуостров.²³ Emerald Sleet използва LLM, за да проучва уязвимости и да извършва разузнаване на организации и експерти, фокусирани върху Северна Корея. Emerald Sleet също така е използвала LLM за отстраняване на технически проблеми, за изпълнение на основни задачи по създаване на скриптове и за изготвяне на съдържание за спиърфишинг съобщения. Microsoft си партнира с OpenAI, за да деактивира акаунти и активи, свързани с Emerald Sleet.