Цифрові загрози зі Східної Азії набирають розмаху

Джерела загроз, які діють за вказівкою уряду, особливо зацікавлені в країнах Південнокитайського моря й Тайвані, що відображає широкий спектр економічних, оборонних і політичних інтересів Китаю в цьому регіоні.¹ Претензії на спірні території та напруження по обидві боки протоки, а також американська військова присутність мотивують Китай до кібератак.²

Корпорація Майкрософт виділила групу Raspberry Typhoon (RADIUM) як основне джерело загроз, націлене на країни регіону Південнокитайського моря. Raspberry Typhoon постійно атакує урядові установи, воєнні об’єкти, приватні компанії, пов’язані з критичною інфраструктурою, особливо з телекомунікаціями. З початку 2023 року група Raspberry Typhoon активувала свою діяльність. Під час атак на уряд й інфраструктуру хакери Raspberry Typhoon зазвичай збирають розвідувальні дані й застосовують зловмисні програми. У різних країнах цілями стають різні урядові установи: від оборонних і розвідувальних відомств до міністерств економіки й торгівлі.

Flax Typhoon (Storm-0919) – найактивніша група, яка спрямовує атаки на Тайвань. Ця група передусім зазіхає на телекомунікації, інформаційні технології, освітні заклади, енергетичну інфраструктуру й використовує для цього звичайні пристрої для мереж VPN, щоб безпосередньо проникати в мережі своїх цілей. Подібним чином діє й група Charcoal Typhoon (CHROMIUM), яка націлена на освітні заклади Тайваню, енергетичну інфраструктуру й виробників у галузі високих технологій. У 2023 році групи Charcoal Typhoon і Flax Typhoon атакували тайванські підприємства аерокосмічної галузі, які співпрацюють з міністерством оборони.

На промислові підприємства оборонної галузі США націлюються багато зловмисних груп, які розташовані в Китаї, зокрема Circle Typhoon (DEV-0322), Volt Typhoon (DEV-0391) і Mulberry Typhoon (MANGANESE). Хоча іноді їхні атаки спрямовані проти тих самих об’єктів, ці три групи загроз діють незалежно, мають окремі інфраструктуру й можливості.³

Circle Typhoon активно працює проти оборонної промисловості США, зокрема проводить операції для розробки ресурсів, збору розвідданих, отримання початкового доступу й доступу до облікових даних. Circle Typhoon часто використовує пристрої для мереж VPN, щоб атакувати ІТ-компанії та підрядників оборонної галузі, які розташовані в США. Група Volt Typhoon також проводила інформаційну розвідку проти численних оборонних підрядників США. Найчастіше такі атаки спрямовані проти Ґуаму, а саме проти розташованих там компаній супутникового зв’язку й телекомунікацій.⁴

Зазвичай Volt Typhoon намагається зламати маршрутизатори в невеликих офісах або приватних будинках, щоб розбудувати інфраструктуру.⁵ Група Mulberry Typhoon також часто обирала своєю ціллю промислові підприємства оборонного комплексу США. Примітно, що група атакувала пристрої своїх цілей експлойтом нульового дня.⁶ Увага зловмисників до Ґуаму дуже важлива з огляду на те, що ця територія розташована найближче до США у Східній Азії та відіграє значну стратегічну роль для США в цьому регіоні.

За останні пів року корпорація Майкрософт спостерігала за тим, що джерела загроз, пов’язані з китайським урядом, атакують критичну інфраструктуру США в різних секторах і докладають значних зусиль для розробки ресурсів. Принаймні з літа 2021 року за цими злочинами стоїть група Volt Typhoon, а обсяги її діяльності досі повністю не відомі.

Атак зазнали транспортний сектор (порти, залізниця), комунальні служби (енергетика й водопостачання) медична інфраструктура (включно з лікарнями) і телекомунікації (супутникові і оптоволоконні системи зв’язку). У корпорації Майкрософт припускають, що в результаті цієї кампанії Китай отримав можливості порушувати роботу критичної інфраструктури між США й Азією.⁷

З 15 травня суб’єкт загроз із Китаю під назвою Storm-0558 використовував підробні маркери автентифікації, щоб отримати доступ до облікових записів електронної пошти близько 25 організацій-клієнтів корпорації Майкрософт, зокрема урядових установ у США та Європі.⁸ Корпорація Майкрософт успішно заблокувала цю кампанію. Хакери мали на меті отримати неавторизований доступ до облікових записів електронної пошти. Фахівці корпорації Майкрософт вважають, що ці дії відповідають цілям групи Storm-0558, яка зацікавлена в шпіонажі. Раніше вона атакувала дипломатичні установи США та європейських країн.

По-перше, використання відеокліпів і візуальних мультимедія стає нормою. Пов’язані з компартією Китаю мережі давно використовують для профілів зображення, створені ШІ. Цього року вони почали застосовувати згенерований ШІ візуальний вміст для мемів. Спонсоровані державою суб’єкти й надалі замовлятимуть приватним фірмам, які спеціалізуються на створенні вмісту та зв’язках із громадськістю, операції з поширення пропаганди.³⁵

По-друге, Китай намагатиметься залучати до взаємодії реальних користувачів, інвестувати час і ресурси в створені ресурси в соціальних мережах. Лідери думок з глибокими знаннями культури й мови, а також високоякісний відеовміст стали передумовами для успішних кампаній залучення користувачів у соціальних мережах. КПК вдаватиметься до деяких із цих прийомів, зокрема до взаємодії з користувачами в соцмережах і демонстрації культурних здобутків, щоб просувати свої приховані медіа-кампанії.

По-третє, пріоритетними цілями для китайських операцій із кібервпливу залишатимуться Тайвань і США, особливо з огляду на майбутні вибори в цих країнах у 2024 році. Зважаючи на те, що агенти впливу, які діють в інтересах китайського уряду, намагалися втручатися в останні вибори в США, вони, безперечно, робитимуть це знову. Фальшиві профілі в соціальних мережах, які вдаватимуть із себе американських виборців, цього разу діятимуть майстерніше, щоб посіяти ворожнечу на расовому, соціальному, економічному й ідеологічному підґрунті за допомогою дописів із жорсткою критикою США.