В период с 2024 по 2025 год исследователи SentinelLABS зафиксировали масштабные операции китайских хакерских группировок, нацеленные на правительственные структуры, медиакомпании и даже поставщиков решений кибербезопасности. Атаки, объединенные в кластеры PurpleHaze и ShadowPad, демонстрируют растущую угрозу со стороны китайских APT-групп, использующих сложные методы обфускации и инфраструктуру для скрытия своей деятельности.
Описание
Одной из ключевых целей стала южноазиатская правительственная организация, подвергшаяся атаке в июне 2024 года с использованием бэкдора ShadowPad, замаскированного под легитимное ПО. В октябре того же года та же организация была атакована снова, но на этот раз злоумышленники применили модифицированную версию открытого бэкдора reverse_ssh, который SentinelLABS классифицирует как часть семейства GOREshell.
Параллельно в сентябре 2024 года была взломана ведущая европейская медиакомпания. Анализ показал, что злоумышленники использовали уязвимости в облачных сервисах Ivanti (CVE-2024-8963 и CVE-2024-8190) еще до их публичного раскрытия. В атаке также применялись инструменты из арсенала сообщества The Hacker’s Choice (THC), что ранее не было характерно для APT-групп.
Отдельное внимание привлекла разведывательная активность в отношении инфраструктуры SentinelOne. Хакеры изучали доступные из интернета серверы компании, вероятно, готовясь к будущим атакам. Исследователи связывают эту активность с теми же группировками, которые атаковали правительственные и медийные структуры.
Эти операции подчеркивают растущую изощренность китайских APT-групп, их способность адаптировать открытые инструменты и эксплуатировать уязвимости до их публикации. Кроме того, атаки на поставщиков кибербезопасности демонстрируют стратегический интерес злоумышленников к организациям, которые могут предоставить доступ к данным множества клиентов.
Индикаторы компрометации
