Аналитики Insikt Group, исследовательского подразделения компании Recorded Future, раскрыли новые детали деятельности угрозы RedNovember, которая с высокой степенью вероятности является китайской группировкой государственного спонсорства. Ранее известная под временным обозначением TAG-100, группа значительно расширила масштабы своей шпионской деятельности, нацелившись на правительственные, межправительственные и частные организации по всему миру, используя уязвимости в периметровых устройствах и открытое вредоносное программное обеспечение.
Описание
В период с июня 2024 по июль 2025 года RedNovember, чья активность пересекается с группировкой Storm-2077, скомпрометировала периметровые устройства влиятельных глобальных организаций. В своих операциях группа использовала бэкдор Pantegana, написанный на языке Go, и фреймворк Cobalt Strike. География целей группы расширилась, включив организации оборонно-космической промышленности, космические агентства и юридические фирмы. Среди новых жертв identified министерство иностранных дел в Центральной Азии, служба государственной безопасности в Африке, правительственное управление в Европе и правительство страны Юго-Восточной Азии. Также есть признаки компрометации по меньшей мере двух американских оборонных подрядчиков, европейского производителя двигателей и межправительственной организации в Юго-Восточной Азии.
Группа активно использует тактику разведки и компрометации периметровых устройств для получения первоначального доступа. В фокусе RedNovember оказались устройства SonicWall, Cisco ASA, F5 BIG-IP, Palo Alto Networks GlobalProtect, Sophos SSL VPN, Fortinet FortiGate, а также серверы Outlook Web Access и VPN-устройства Ivanti Connect Secure. Эта деятельность демонстрирует способность группы комбинировать эксплойты для уязвимостей с открытыми фреймворками для пост-эксплуатации, такими как Pantegana, что снижает порог входа для менее квалифицированных злоумышленников и позволяет более продвинутым группам избегать использования кастомных инструментов, скрывая свою принадлежность.
Ключевые выводы исследования указывают на то, что RedNovember продолжает полагаться на фреймворки командования и управления Pantegana и Cobalt Strike, а также на открытый бэкдор SparkRAT. Группа значительно расширила спектр целей, включив в него целенаправленные фишинговые атаки и попытки эксплуатации уязвимостей против объектов оборонно-промышленной базы США и европейских космических организаций. Важно отметить, что часть активности группы, наблюдаемая на Тайване и в Панаме, происходила в непосредственной близости к геополитическим и военным событиям, имеющим ключевое стратегическое значение для Китая.
Технический анализ показывает, что группа использует VPN-сервисы, такие как ExpressVPN, для администрирования своей инфраструктуры, а также, возможно, начала применять другие сервисы, например, Warp VPN. Мониторинг активных серверов управления и контроля выявил жертв по всему миру, сконцентрированных в секторах аэрокосмической и оборонной промышленности, государственного управления и профессиональных услуг. Активность группы варьируется от простого просмотра до целенаправленной разведки и успешной компрометации.
Особый интерес представляет активность RedNovember на Тайване. В декабре 2024 года, во время внезапных военных учений Китая вокруг острова, была зафиксирована связь между вредоносным сервером группы и объектом на Тайване, где расположена военно-воздушная база и ведутся полупроводниковые исследования. В апреле 2025 года группа провела разведку против инфраструктуры двух национальных научно-исследовательских организаций Тайваня, включая ту, что занимается полупроводниками.
В Южной Корее RedNovember скомпрометировала некоммерческую организацию в финансовом секторе. В рамках апрельской волны атак на VPN-устройства Ivanti в 2025 году была зафиксирована предполагаемая компрометация организации, связанной с ядерной безопасностью, которая финансируется правительством Южной Кореи и играет ключевую роль в разработках суперкомпьютеров и квантовых вычислений.
Значительные усилия по разведке были предприняты группой в отношении более чем 30 правительственных организаций Панамы в апреле 2025 года. Эта активность последовала за визитом министра обороны США Пита Хегсета в Панаму и заявлениями бывшего президента США Дональда Трампа о возможном интересе США к контролю над Панамским каналом. Кроме того, Панама объявила о выходе из инициативы "Пояс и путь" и пересмотре контрактов с гонконгской компанией, что, вероятно, и вызвало всплеск интереса китайских хакеров.
RedNovember также усиливает свои атаки на американские и европейские организации в сфере обороны и аэрокосмической промышленности. В июле 2024 года группа провела масштабную разведку против известных организаций в этой области, сосредоточив внимание на Соединенных Штатах.В апреле 2025 года были зафиксированы связи между сервером разведки RedNovember и инфраструктурой европейского исследовательского центра, связанного с космосом. Группа также атаковала специализированного американского инженерного и военного подрядчика через уязвимости в VPN Ivanti.
В частном секторе группа продемонстрировала интерес к европейским производителям, глобальным юридическим фирмам, тайваньским технологическим компаниям и американским нефтегазовым корпорациям. В апреле 2025 года RedNovember провела разведку двух американских нефтегазовых компаний, что согласуется с более ранними сообщениями о targeting американских коммунальных предприятий.
Группа неоднократно проводила массированные атаки на конкретные периметровые устройства сразу после раскрытия уязвимостей и публикации эксплойтов. Это наблюдалось в случае с уязвимостями в Palo Alto Networks GlobalProtect и Check Point VPN. В апреле 2025 года кампания была сфокусирована на VPN-устройствах Ivanti Connect Secure, среди целей которых были крупная американская газета и южнокорейские научно-исследовательские институты.
В своем арсенале RedNovember использует такие инструменты, как загрузчик LESLIELOADER для развертывания SparkRAT и Cobalt Strike, а также вредоносные документы для фишинга. Группа также применяет различные интернет-сервисы, включая сканеры уязвимостей PortSwigger и Acunetix, файлообменник pan[.]xj[.]hk, облачные хранилища и архив Wayback Machine для разведывательной деятельности.
Эксперты Insikt Group прогнозируют, что RedNovember, как и другие китайские группировки государственного спонсорства, с высокой степенью вероятности продолжит targeting периметровых устройств и эксплуатацию уязвимостей вскоре после их публичного раскрытия. Для защиты организациям рекомендуется своевременно применять обновления безопасности, особенно для внешне ориентированных устройств, внедрять стратегии глубокой эшелонированной обороны, сегментировать сети и отслеживать активность, связанную с известной инфраструктурой группы. Широкая география и разнообразие секторов-целей RedNovember указывают на обширные и изменчивые разведывательные интересы, стоящие за ее деятельностью.
Индикаторы компрометации
YARA
