Tie paši mērķi, jaunas rokasgrāmatas: Austrumāzijas draudu izpildītāji izmanto unikālas metodes

Gingham Typhoon mērķis ir valdība, IT un daudznacionālas organizācijas Klusā okeāna dienvidu salās

2023. gada vasarā Microsoft draudu informācijas centrs novēroja plašu Ķīnā bāzētas spiegu grupas Gingham Typhoon darbību ar mērķi uzbrukt gandrīz katrai Klusā okeāna dienvidu salu valstij. Gingham Typhoon ir aktīvākais izpildītājs šajā reģionā, kas uzbrūk starptautiskām organizācijām, valsts iestādēm un IT nozarei, izmantojot sarežģītas pikšķerēšanas kampaņas. Par upuriem kļuva arī personas, kas publiski kritizēja Ķīnas valdību.

Ķīnas diplomātiskie sabiedrotie, kas bija nesenā Gingham Typhoon darbības upuri, ir valdību izpildbiroji, ar tirdzniecību saistīti departamenti, interneta pakalpojumu sniedzēji, kā arī transporta uzņēmumi.

Šo nelikumīgo kiberdarbību motivācija varēja būt sakāpinātā ģeopolitiskā un diplomātiskā sacensība reģionā. Ķīna turpina veidot stratēģiskas partnerības ar Klusā okeāna dienvidu salu valstīm, lai paplašinātu ekonomiskās saites un noslēgtu diplomātiskas un drošības vienošanās. Ķīnas kiberspiegi šajā reģionā seko ekonomiskajiem partneriem.

Piemēram, Ķīnas izpildītāji iesaistījās liela mēroga uzbrukumos daudznacionālām organizācijām Papua-Jaungvinejā, kas ir ilgtermiņa diplomātiskais partneris un gūst labumu no vairākiem iniciatīvas “Viena josla, viens ceļš” (Belt and Road Initiative — BRI) projektiem, ieskaitot liela autoceļa būvniecību, kas sasaista Papua-Jaungvinejas valdības ēku ar galvaspilsētas galveno ceļu.¹

Ķīnas draudu izpildītāji turpina fokusēties uz Dienvidķīnas jūru rietumu militāro mācību laikā

Ķīnā bāzēti draudu izpildītāji turpināja uzbrukt organizācijām, kas saistītas ar Ķīnas ekonomiskajām un militārajām interesēm Dienvidķīnas jūrā un ap to. Šie izpildītāji oportūnistiski apdraudēja valdību un telekomunikāciju upurus Dienvidaustrumāzijas valstu asociācijā (ASEAN). Ar Ķīnu saistītie kiberdraudu izpildītāji bija īpaši ieinteresēti mērķos, kas saistīti ar daudzajiem ASV militārajiem uzdevumiem, kas tika veikti reģionā. 2023. gada jūnijā valsts izpildorganizācijas darbību grupa Raspberry Typhoon, kas atrodas ārpus Ķīnas, sekmīgi uzbruka militārām un izpildvaras organizācijām Indonēzijā un Malaizijas jūras sistēmai vairākas nedēļas pirms reti notiekošajām daudzpusējām jūras mācībām, kurās iesaistīta Indonēzija, Ķīna un Amerikas Savienotās Valstis.

Līdzīgi cita Ķīnas kiberizpildītāju grupa Flax Typhoon uzbruka ar ASV un Filipīnu militārajām mācībām saistītām organizācijām. Šajā laika periodā vēl viens Ķīnā bāzēts draudu izpildītājs Granite Typhoon galvenokārt apdraudēja ar telekomunikācijām saistītas šī reģiona organizācijas, tā upuri atradās Indonēzijā, Malaizijā, Filipīnās, Kambodžā un Taivānā.

Kopš Microsoft publicēja emuāru par Flax Typhoon, 2023. gada rudens un ziemas sākumā Microsoft novēroja jaunus Flax Typhoon mērķus Filipīnās, Honkongā, Indijā un Amerikas Savienotajās valstīs.² Šis izpildītājs bieži uzbrūk arī telekomunikāciju nozarei, nereti radot daudzas seku kaskādes.

Ziemeļkorejas kiberdraudu izpildītāji 2023. gadā nozaga kriptovalūtu simtiem miljonu dolāru vērtībā, veica uzbrukumus programmatūras piegādes ķēdei un vērsās pret personām, ko uzskatīja par nacionālo drošību apdraudošiem. Viņu darbības rezultātā tiek gūti ieņēmumi Ziemeļkorejas valdībai, jo īpaši ieroču programmai, un vākta informācija par Amerikas Savienotajām Valstīm, Dienvidkoreju un Japānu.¹⁶

Ziemeļkorejas kiberdraudu izpildītāji nolaupa rekordlielu kriptovalūtas summu, lai gūtu ieņēmumus valstij.

Apvienoto Nāciju Organizācija lēš, ka Ziemeļkorejas kiberdraudu izpildītāji kopš 2017. gada ir nozaguši kriptovalūtu vairāk nekā 3 miljardu ASV dolāru vērtībā¹⁷ Tikai 2023. gadā notikušajās laupīšanās vien ir iegūti no 600 miljoniem līdz 1 miljardam ASV dolāru. Tiek ziņots, ka ar šiem nozagtajiem līdzekļiem tiek finansēta vairāk nekā puse valsts kodolieroču un raķešu programmas, kas sniedz iespēju Ziemeļkorejai palielināt ieroču krājumus un izmēģināt tos, neskatoties uz sankcijām.¹⁸ Ziemeļkoreja veica vairākus raķešu izmēģinājumus un militārās mācības pagājušā gada laikā un 2023. gada 21. novembrī pat sekmīgi palaida kosmosā militārās izlūkošanas satelītu.¹⁹

Microsoft izsekotie trīs draudu izpildītāji — Jade Sleet, Sapphire Sleet un Citrine Sleet — kopš 2023. gada jūnija galvenokārt pievērsās kriptovalūtas mērķiem. Jade Sleet veica kriptovalūtas zādzības lielos apmēros, savukārt Sapphire Sleet veica mazākas, bet biežākas kriptovalūtas zādzības. Microsoft uzskata, ka 2023. gada jūnija sākumā Jade Sleet nozaga 35 miljonus ASV dolāru no Igaunijā darbojošās kriptovalūtas firmas. Microsoft uzskata, ka mēnesi vēlāk Jade Sleet nozaga arī vairāk nekā 125 miljonus ASV dolāru no Singapūrā darbojošās kriptovalūtas platformas. Jade Sleet sāka apdraudēt tiešsaistes kriptovalūtas kazino 2023. gada augustā.

Sapphire Sleet konsekventi apdraudēja vairākus darbiniekus, tostarp vadību un izstrādātājus, kriptovalūtas, iespējkapitāla un citās finanšu organizācijās. Sapphire Sleet izstrādāja arī jaunas metodes, piemēram, sūtīja neīstus uzaicinājumus uz virtuālām sanāksmēm, kuros pievienoja saites uz uzbrucēja domēnu, un reģistrēja neīstas darba sludinājumu tīmekļa vietnes. Citrine Sleet turpināja 2023. gada marta uzbrukumu 3CX piegādes ķēdei, apdraudot Turcijā strādājošu kriptovalūtas un digitālo resursu firmu lejupējā piegādes ķēdē. Upuris viesoja neaizsargātu programmas 3CX versiju, kas bija saistīta ar uzbrukumu piegādes ķēdei.

Ziemeļkorejas kiberdraudu izpildītāji apdraud IT nozari, izmantojot mērķētu pikšķerēšanu un uzbrukumus programmatūras piegādes ķēdēm

Ziemeļkorejas draudu izpildītāji veica arī uzbrukumus programmatūras piegādes ķēdei IT uzņēmumos. To rezultātā tika iegūta piekļuve klientiem lejupējā piegādes ķēdē. Jade Sleet ļaunprātīgi izmantoja GitHub repozitorijus un npm pakotnes sociālās inženierijas mērķētā pikšķerēšanas kampaņā, kuras mērķis bija kriptovalūtas un tehnoloģiju organizāciju darbinieki.²⁰ Uzbrucēji uzdevās par izstrādātājiem vai personāla atlases speciālistiem, aicināja upurus sadarboties GitHub repozitorijā un pārliecināja viņus klonēt un izpildīt tā saturu, kas saturēja ļaunprātīgas npm pakotnes. Diamond Sleet 2023. gada augustā uzbruka Vācijā bāzēta IT uzņēmuma piegādes ķēdei un kā ieroci izmantoja programmu no Taivānā bāzētas IT firmas, lai 2023. gada novembrī veiktu uzbrukumu piegādes ķēdei. Gan Diamond Sleet, gan Onyx Sleet 2023. gada oktobrī izmantoja TeamCity CVE-2023- 42793 ievainojamību, kas uzbrucējiem nodrošināja iespēju attāli veikt koda izpildes uzbrukumu un iegūt administratīvu kontroli pār serveri. Diamond Sleet šo metodi izmantoja, lai apdraudētu simtiem upuru dažādās nozarēs Amerikas Savienotajās Valstīs un Eiropas valstīs, tostarp, Apvienotajā Karalistē, Dānijā, Īrijā un Vācijā. Onyx Sleet šo pašu metodi izmantoja, lai apdraudētu vismaz 10 upurus, tostarp programmatūras nodrošinātāju Austrālijā un valsts iestādi Norvēģijā, un pēc uzbrukuma izmantoja rīkus, lai nosūtītu papildu vērtumus.

Ziemeļkorejas draudu izpildītāji uzbruka Amerikas Savienotajām Valstīm, Dienvidkorejai un to sabiedrotajiem

Ziemeļkorejas draudu izpildītāji turpināja uzbrukt personām, kas pēc viņu domām ir drauds nacionālajai drošībai. Šī kiberaktivitāte ir piemērs tam, kā Ziemeļkoreja īsteno ģeopolitisko mērķi darboties pret trīspusējo savienību, ko veido Amerikas Savienotās Valstis, Koreja un Japāna. Šo trīs valstu vadītāji nostiprināja šo sadarbību Kempdeividas samitā, kas notika 2023. gada augustā.²¹ Ruby Sleet un Onyx Sleet turpināja savas tendences uzbrukt kosmosa un aizsardzības organizācijām Amerikas Savienotajās Valstīs un Dienvidkorejā. Emerald Sleet turpināja izlūkošanas un mērķētas pikšķerēšanas kampaņu, kuras mērķis bija diplomāti un Korejas pussalas eksperti, kas darbojas valdībā, domnīcās/NVO, plašsaziņas līdzekļos un izglītības nozarē. 2023. gada jūnijā Pearl Sleet turpināja darbības, kuru mērķis bija Dienvidkorejas organizācijas, kas sadarbojas ar pārbēdzējiem un aktīvistiem no Ziemeļkorejas, kas strādā ar Ziemeļkorejas cilvēktiesību problēmām. Microsoft uzskata, ka šo darbību motīvs ir informācijas vākšana.

Ziemeļkorejas izpildītāji ievieš lūkas leģitīmā programmatūrā

Ziemeļkorejas draudu izpildītāji izmantoja arī lūkas leģitīmā programmatūrā, gūstot labumu no ievainojamībām esošā programmatūrā. 2023. gada pirmajā pusē Diamond Sleet bieži kā ieroci izmantoja VNC ļaunprogrammatūru, lai uzbruktu upuriem. 2023. gada jūlijā Dimond Sleet atsāka izmantot par ieroci arī PDF lasītāja ļaunprogrammatūru, metodi, kas analizēta kādā Microsoft draudu informācijas 2022. gada septembra emuārā.²² Ruby Sleet 2023. gada decembrī visdrīzāk izmantoja arī Dienvidkorejas elektronisko dokumentu programmas lūkas instalētāju.

Ziemeļkoreja izmantoja mākslīgā intelekta rīkus, lai veiktu ļaunprātīgas kiberdarbības

Ziemeļkorejas draudu izpildītāji pielāgojas mākslīgā intelekta laikmetam. Viņi mācās izmantot rīkus, ko nodrošina mākslīgā intelekta lielo valodu modeļi (LLM), lai viņu operācijas būtu iedarbīgākas un efektīvākas. Piemēram, Microsoft un OpenAI novēroja, ka Emerald Sleet izmanto LLM, lai uzlabotu mērķētas pikšķerēšanas kampaņas, kuru mērķis bija Korejas pussalas eksperti.²³ Emerald Sleet izmantoja LLM, lai pētītu ievainojamības un veiktu izlūkošanu par organizācijām un ekspertiem, kas pievērsās Ziemeļkorejai. Emerald Sleet izmantoja LLM, lai risinātu arī tehniskas problēmas, veiktu pamata skriptu uzdevumus un sagatavotu saturu mērķētām pikšķerēšanas ziņām. Microsoft sadarbojās ar OpenAI, lai atspējotu kontus un ar Emerald Sleet saistītos resursus.