Группа APT SideWinder, известная своей многолетней шпионской деятельностью в Южной Азии, развернула новую масштабную операцию под кодовым названием SouthNet. Согласно данным аналитиков Hunt.io, киберпреступники сосредоточили усилия на морском секторе, целенаправленно атакуя правительственные и военные организации Пакистана и Шри-Ланки.
Описание
Масштабы операции
В ходе операции было выявлено более 50 вредоносных доменов, размещенных на бесплатных хостинговых платформах Netlify, pages.dev, workers.dev и b4a.run. Злоумышленники создавали фишинговые порталы, имитирующие системы электронной почты Outlook и Zimbra, для кражи учетных данных. География атак охватила пять стран региона: Бангладеш, Непал, Мьянму, Пакистан и Шри-Ланку, причем на Пакистан пришлось 40% всех идентифицированных доменов.
С августа по сентябрь 2025 года исследователи зафиксировали не менее 12 документов с вредоносным кодом, тематически связанных с деятельностью министерских комитетов, двусторонними визитами и военными закупками. Особую озабоченность вызывает обнаружение открытых директорий с восемью образцами вредоносного программного обеспечения, нацеленного на морской сектор Пакистана.
Тактика и методы
Анализ инфраструктуры показал прямую связь текущей кампании с предыдущими операциями SideWinder через домены командных серверов govmm[.]org, govnp[.]org и andc[.]govaf[.]org. Это свидетельствует о повторном использовании инфраструктуры на протяжении нескольких лет.
Фальшивые порталы успешно перехватывали вводимые учетные данные через прямые POST-запросы без перенаправлений, а логи передавались на инфраструктуру technologysupport[.]help. Средняя частота появления новых фишинговых доменов составляла каждые 3-5 дней, что указывает на высокую оперативную готовность группы к быстрой смене тактики.
В Бангладеш злоумышленники использовали порталы "защищенных файлов" Управления генерального директора по оборонным закупкам, предлагая пользователям ввести учетные данные для доступа к документам по турецкому оборонному оборудованию. В Непале атаки были нацелены на Министерство финансов через поддельную страницу входа в веб-почту Outlook, где в качестве приманки использовался документ о визите премьер-министра в Китай.
Целевые организации
В Пакистане атакам подверглись Космическое и исследовательское управление верхних слоев атмосферы, Управление аэропортов и Совет по инвестициям. Злоумышленники применяли изощренную тактику с кодированием адресов электронной почты в Base64 и многоэтапными перенаправлениями для скрытия фишингового процесса.
В Мьянме была обнаружена фишинговая кампания против Центрального банка через поддельный вход в Zimbra Web Client. Анализ инфраструктуры выявил три IP-адреса, связанных с этой атакой, на которых размещались вредоносные исполняемые файлы и скрипты.
Исследователи также зафиксировали перекрестную активность в Сингапуре, где три фишинговых портала имитировали Министерство трудовых ресурсов, хотя прямая связь с SideWinder на данном этапе не подтверждена.
Морская направленность
Особое внимание привлекли открытые директории, содержащие исполняемые файлы, DLL и документы-приманки, явно нацеленные на морской сектор. Были идентифицированы шесть уникальных доменов и IP-адресов командных серверов, включая тематические названия, связанные с портами Коломбо и Гвадар.
Аналитики обнаружили такие файлы-приманки, как Training_Program_July_2024.pdf.url, Navy_Operational_Highlights_2025.zip и Incident_Report_Gwadar_Port_Complex.pdf.exe, что подтверждает целенаправленный характер кампании на морской сектор Пакистана и Шри-Ланки.
Рекомендации по защите
Эксперты рекомендуют организациям усилить мониторинг бесплатных хостинговых платформ на предмет появления фишинговых порталов с государственной тематикой. Ключевое значение имеет непрерывное внедрение индикаторов компрометации в системы SIEM и EDR, а также блокировка подозрительных перенаправлений и усиленная фильтрация попыток входа в поддельные системы Zimbra и Outlook.
Не менее важным представляется обучение государственных и оборонных сотрудников распознаванию фишинговых атак на основе документов с запросами на вход в системы. Для ограничения перемещения злоумышленников после компрометации рекомендуется внедрение многофакторной аутентификации и сегментация критически важных сетей.
Операция SouthNet демонстрирует, что APT SideWinder остается одной из наиболее устойчивых и адаптивных групп угроз в Южной Азии, сочетая в своей деятельности техническую изощренность и прагматичный подход к повторному использованию инфраструктуры. Региональное сотрудничество между национальными CERT и SOC приобретает особое значение в условиях трансграничного характера операций группировки.
Индикаторы компрометации
