Специалисты по кибербезопасности обнаружили сложную и хорошо скоординированную кампанию цифрового шпионажа, в которой три различные группы хакеров, связанные с Китаем, одновременно атаковали одну правительственную организацию в Юго-Восточной Азии. Событие, расследованное экспертами Unit 42 из Palo Alto Networks, демонстрирует растущую тенденцию к совместным операциям среди угрозовых акторов, нацеленным на критически важные государственные объекты. Вместо единичного вторжения жертва столкнулась с многослойной атакой, где каждый кластер активности использовал уникальный арсенал вредоносного программного обеспечения и тактики для достижения общей цели - долгосрочного закрепления в сети и хищения конфиденциальных данных.
Описание
Расследование началось с отслеживания активности группы, известной как Stately Taurus, в период с 1 июня по 15 августа 2025 года. Этот кластер использовал червь USBFect (также известный как HIUPAN), распространяющийся через USB-накопители, для доставки бэкдора PUBLOAD. Однако углубленный анализ вскрыл присутствие в той же инфраструктуре ещё двух независимых кластеров, получивших внутренние обозначения CL-STA-1048 и CL-STA-1049. Их одновременная работа на одном объекте указывает не на случайное совпадение, а на скоординированные усилия, вероятно, направляемые общим стратегическим интересом. Подобная конвергенция инструментов и целей у разных групп является тревожным признаком для специалистов по защите, поскольку усложняет обнаружение и анализ инцидента, размывая границы между отдельными операциями.
Кластер Stately Taurus полагался на проверенный метод физического заражения через съёмные носители. Черви, подобные USBFect, остаются эффективным вектором в средах с ограниченным интернет-доступом или строгим сетевым сегментированием, где воздушный зазор может быть преодолён через неконтролируемые USB-устройства. Вредоносная программа копирует свои компоненты, включая загрузчик ClaimLoader, на подключаемые диски и заражает новые компьютеры, устанавливая автозапуск через реестр Windows. Ключевой полезной нагрузкой выступает бэкдор PUBLOAD, который шифрует системную информацию и устанавливает связь с командным сервером злоумышленников по протоколу TCP, маскируя трафик под легитимный TLS. Параллельно исследователи обнаружили в сети жертвы образцы другого загрузчика - CoolClient, чьи уникальные методы противодействия анализу совпали с таковыми у USBFect, что подтвердило его принадлежность к той же группе Stately Taurus. CoolClient, построенный на открытой библиотеке HP-Socket, функционирует как инструмент для туннелирования трафика и сбора данных, подготавливая почву для дальнейшего перемещения по сети.
Второй кластер, CL-STA-1048, действовал более агрессивно и шумно, развернув целый набор шпионских инструментов, как будто методом проб и ошибок ища тот, который сможет обойти защитные системы. Его активность началась с лёгкого бэкдора EggStremeFuel, который хранил свою конфигурацию командного центра в файле cookies, имитируя данные браузера. Вслед за этим атакующие попытались развернуть несколько удалённых троянов. Masol RAT, документированный ранее как инструмент китайской угрозы, обеспечивал выполнение команд и передачу файлов через HTTP. Одновременно была предпринята попытка загрузки многослойного EggStreme Loader, предназначенного для развёртывания мощного трояна Gorem RAT с 59 командами и встроенным кейлоггером, перехватывающим нажатия клавиш и содержимое буфера обмена. Завершал этот набор TrackBak - относительно простой похититель информации, маскирующийся под лог-файл браузера Edge. Такое разнообразие инструментария в короткий промежуток времени свидетельствует о высокой решимости злоумышленников получить точку опоры в системе любой ценой, даже рискуя быть обнаруженными.
Третий кластер, CL-STA-1049, напротив, сделал ставку на скрытность и изощрённость. Его отличительной чертой стало использование нового загрузчика, названного Hypnosis loader, для развёртывания трояна FluffyGh0st RAT. Атака строилась на технике DLL sideloading: злоумышленники помещали вредоносную библиотеку version.dll в каталог легитимного ПО Bitdefender, которое при запуске загружало её вместо системной. Hypnosis loader применял сложные техники, включая патчинг точки входа основного процесса, чтобы заблокировать его в бесконечном цикле, пока в отдельном потоке расшифровывалась и запускалась конечная полезная нагрузка. Ею, судя по косвенным признакам и связи с командным сервером, выступал FluffyGh0st - кастомная версия известного Gh0st RAT, связанная с группой Unfading Sea Haze. Этот троянец действует как основа для плагинов, которые он загружает по команде с сервера, что делает его функционал модульным и адаптируемым под конкретные задачи шпионажа.
Значительное совпадение тактик, техник и процедур (TTPs), а также используемого инструментария с ранее задокументированными кампаниями, такими как Crimson Palace, Earth Estries и Unfading Sea Haze, чётко указывает на китайское происхождение всех трёх кластеров. Хотя прямое взаимодействие между CL-STA-1048 и CL-STA-1049 в ходе этого инцидента не наблюдалось, их параллельная работа против одной высокоценной цели, перекрывающиеся инструменты и связь с одними и теми же публичными кампаниями рисуют картину скоординированной операции. Это не конкурирующие группы, а, вероятно, части более крупного целого, решающего общую задачу по проникновению и длительному шпионажу. Атака носила явно разведывательный, а не разрушительный характер, что видно по акцентам на сборе данных, кейлоггинге и создании постоянных каналов удалённого доступа.
Данный инцидент служит суровым напоминанием о сложности современных киберугроз государственному сектору. Противники обладают значительными ресурсами, терпением и готовы применять многоуровневые стратегии, комбинируя грубую силу и изощрённую скрытность. Защита от таких атак требует не только базового антивирусного контроля, но и глубокого мониторинга поведения, анализа сетевых аномалий, строгого контроля съёмных носителей и постоянного обновления знаний о тактике продвинутых угроз. Схождение нескольких опытных противников на одной цели - это новый вызов, на который специалистам по информационной безопасности придётся искать адекватный ответ, выходя за рамки реагирования на единичные угрозы.
Индикаторы компрометации
