Эксперты по кибербезопасности раскрыли масштабную шпионскую кампанию, нацеленную на государственные структуры и медиахолдинги в регионе Южно-Китайского моря. С начала 2025 года злоумышленники, связанные с Китаем, используют сложную цепочку атак для компрометации высокопоставленных целей в Лаосе, Камбодже, Сингапуре, Филиппинах и Индонезии.
Описание
Особую озабоченность вызывает растущая активность КНР в Индо-Тихоокеанском регионе. Недавние инциденты включают мониторинг совместных военных учений филиппинских ВМС с кораблями США, Австралии, Канады и Новой Зеландии. Атаки на правительственные учреждения и новостные организации представляют особый интерес, поскольку эти структуры формируют политику, общественное мнение и международные альянсы.
Кампания начинается с целевой фишинговой рассылки. Злоумышленники отправляют письма с архивным файлом "Proposal_for_Cooperation_3415.05092025.rar", который использует критическую уязвимость CVE-2025-8088 в популярном архиваторе WinRAR. Данная уязвимость позволяет осуществлять путь обхода директорий через альтернативные потоки данных. При извлечении содержимого архива автоматически активируется механизм обеспечения постоянства (persistence).
В папку автозагрузки текущего пользователя помещается скрипт "Windows Defender Definition Update.cmd". Этот файл маскируется под обновление защитника Windows и выполняется при следующем входе в систему. Скрипт загружает вторую стадию атаки из облачного хранилища Dropbox, используя PowerShell для скачивания дополнительного RAR-архива.
Загруженный архив защищен паролем S8jwaqfA0BBuWOAKrFLg и сохраняется в общедоступной папке Documents с полуслучайным именем. После извлечения злоумышленники создают постоянство через добавление записи в реестр Windows. Ключ автозагрузки указывает на исполняемый файл obs-browser-page.exe, который является легитимным приложением.
Критический элемент атаки - техника DLL sideloading, когда вредоносная библиотека libcef.dll загружается легитимным приложением. Этот метод позволяет обойти традиционные средства защиты. Вредоносная полезная нагрузка (payload) скрывается в подписанном компоненте, что значительно усложняет обнаружение.
Анализ временных меток показывает, что компоненты были скомпилированы в сентябре 2025 года, что свидетельствует о подготовке к длительной операции. Использование облачных сервисов для доставки вредоносных нагрузок позволяет злоумышленникам избегать блокировки традиционных сигнатур.
Данная кампания демонстрирует растущую изощренность кибершпионских групп. Сочетание социальной инженерии, эксплуатации неизвестных уязвимостей и сложных техник уклонения от обнаружения представляет серьезную угрозу для национальной безопасности. Эксперты рекомендуют организациям в регионе немедленно обновить WinRAR до последней версии и усилить мониторинг подозрительной активности.
Особое внимание следует уделить анализу исходящего сетевого трафика и нестандартной автозагрузки приложений. Регулярное обучение сотрудников распознаванию целевых фишинговых атак также остается критически важным элементом защиты. Кибербезопасность становится ключевым аспектом геополитической стабильности в Южно-Китайском море.
Индикаторы компрометации
Yara
Технический отчет
