Námořní a logistické společnosti v jižní a jihovýchodní Asii, na Středním východě a v Africe se staly cílem pokročilé perzistentní hrozby (APT) skupiny nazvané SideWinder.

Útoky, které byly pozorovány společností Kaspersky v roce 2024, se rozšířily do Bangladéše, Kambodže, Džibutska, Egypta, Spojených arabských emirátů a Vietnamu. Dalšími cíli zájmu jsou jaderné elektrárny a infrastruktura jaderné energie v jižní Asii a Africe, stejně jako telekomunikační, poradenské a IT společnosti, realitní agentury a hotely.

V rámci širší expanze svého zaměření SideWinder také cílil na diplomatické subjekty v Afghánistánu, Alžírsku, Bulharsku, Číně, Indii, na Maledivách, ve Rwandě, Saúdské Arábii, Turecku a Ugandě. Zaměření na Indii je významné, protože tento aktér hrozby byl dříve podezřelý z indického původu.

„Stojí za zmínku, že SideWinder neustále pracuje na zlepšování svých nástrojů, aby předběhl detekci bezpečnostním softwarem, prodloužil perzistenci v kompromitovaných sítích a skryl svou přítomnost v infikovaných systémech,“ uvedli experti Giampaolo Dedola a Vasily Berdnikov, kteří jej popsali jako „vysoce pokročilého a nebezpečného protivníka“.

SideWinder byl dříve předmětem rozsáhlé analýzy ruské kyberbezpečnostní společnosti v říjnu 2024, která dokumentovala použití modulárního post-exploitačního nástroje nazvaného StealerBot k zachycení široké škály citlivých informací z kompromitovaných zařízení. Zaměření hackerské skupiny na námořní sektor bylo rovněž zdůrazněno společností BlackBerry v červenci 2024.

Nejnovější řetězce útoků odpovídají tomu, co bylo dříve hlášeno, přičemž spear-phishingové e-maily slouží jako prostředek k doručení podvodných dokumentů, které využívají známou bezpečnostní zranitelnost v Microsoft Office Equation Editor (CVE-2017-11882) k aktivaci vícestupňové sekvence. Ta následně využívá .NET downloader nazvaný ModuleInstaller k finálnímu spuštění StealerBotu.

Společnost Kaspersky uvedla, že některé z podvodných dokumentů se týkají jaderných elektráren a agentur pro jadernou energii, zatímco jiné obsahují obsah odkazující na námořní infrastruktury a různé přístavní úřady.

Zdroj: The Hacker News

Zdroj: IT SECURITY NETWORK NEWS  

Zdroj: ICT NETWORK NEWS