Китайские хакеры атаковали тайваньское производство полупроводников с помощью целевого фишинга

• Proofpoint зафиксировал, как UNK_FistBump, UNK_DropPitch и UNK_SparkyCarp занимались целевым фишингом
• Группы пытались внедрить различные бэкдоры и вредоносное ПО
• Кибератаки являются частью более масштабных усилий по «достижению самодостаточности в производстве полупроводников», как утверждают эксперты

Несколько групп злоумышленников, спонсируемых китайским государством, координировали кибератаки на тайваньскую полупроводниковую промышленность, нанося удары по производственным компаниям, цепочкам поставок и фирмам, занимающимся анализом финансовых инвестиций по всей стране.

Об этом сообщают исследователи в области кибербезопасности из компании Proofpoint, которые утверждают, что наблюдали как минимум за тремя различными группами, участвовавшими в этой кампании.

Видео от DGL.RU

Эти группы отслеживаются как UNK_FistBump, UNK_DropPitch и UNK_SparkyCarp. Иногда разные поставщики средств безопасности по-разному маркируют одни и те же группы, но, судя по всему, это новички в мире киберпреступности.

Четвертый игрок

Их тактика, методы и процедуры (ТТП) несколько отличаются от того, что наблюдалось в прошлом, и это наводит исследователей на мысль, что речь идёт о новых группировках.

Кибератаки происходили в период с марта по июнь этого года и были нацелены на «организации, занимающиеся производством, проектированием и тестированием полупроводников и интегральных схем, а также на более крупные предприятия, поставляющие оборудование и услуги в этом секторе, а также на финансовых аналитиков, специализирующихся на тайваньском рынке полупроводников», — сообщает Proofpoint.

Группы используют разные инструменты и тактики. В большинстве случаев первоначальный контакт устанавливается с помощью фишинговых писем, но вредоносное ПО и способы его доставки варьируются от группы к группе. Среди инструментов, используемых в этой кампании, — Cobalt Strike, Voldemort (специальный бэкдор на языке C) и HealthKick (бэкдор, который может выполнять команды), а также другие.

Proofpoint также упомянул четвёртую группу под названием UNK_ColtCentury (также известную как TAG-100 и Storm-2077), которая пыталась наладить контакт со своими жертвами, прежде чем заразить их вредоносным ПО. Эта группа стремилась внедрить троянскую программу удалённого доступа (RAT) под названием Spark.

«Эта деятельность, вероятно, отражает стратегический приоритет Китая в достижении самодостаточности в производстве полупроводников и снижении зависимости от международных цепочек поставок и технологий, особенно в свете экспортного контроля со стороны США и Тайваня», — пояснили исследователи.

«Эти новые субъекты угроз продолжают использовать давно зарекомендовавшие себя методы целевого воздействия, соответствующие интересам китайского государства, а также тактические приемы и специальные возможности, исторически связанные с операциями кибершпионажа, проводимыми совместно с Китаем».

Китай уже много лет заявляет о намерении «вернуть» Тайвань и неоднократно проводил военные учения в непосредственной близости от островного государства.

Как защитить компьютер от кибератаки: актуальные способы