Κινέζοι hackers φαίνεται να εστιάζουν τώρα στην επιρροή των διαδικασιών λήψης αποφάσεων της αμερικανικής κυβέρνησης, στοχεύοντας οργανισμούς που εμπλέκονται στη διαμόρφωση της διεθνούς πολιτικής.
Τον Απρίλιο του 2025, μια εξελιγμένη εισβολή σε μια μη κερδοσκοπική οργάνωση των ΗΠΑ αποκάλυψε τις επίμονες προσπάθειες αυτών των επιτιθέμενων να εδραιώσουν μακροχρόνια πρόσβαση στο δίκτυο και να συλλέξουν πληροφορίες σχετικές με ζητήματα πολιτικής. Οι απειλητικοί παράγοντες επέδειξαν σημαντική τεχνική πολυπλοκότητα, χρησιμοποιώντας πολλαπλές τεχνικές αποφυγής εντοπισμού και εκμεταλλευόμενοι διάφορες ευπάθειες για να διατηρήσουν τον έλεγχο της παραβιασμένης υποδομής για αρκετές εβδομάδες.
Δείτε επίσης: Booking.com: Νέα επίθεση Phishing στοχεύει ταξιδιώτες μέσω παραβιασμένων λογαριασμών
Η εκστρατεία αντικατοπτρίζει ένα ευρύτερο πρότυπο κινεζικής κρατικής κατασκοπείας που στοχεύει σε ιδρύματα που επηρεάζουν την πολιτική. Το αρχικό reconnaissance ξεκίνησε στις 5 Απριλίου 2025, όταν οι επιτιθέμενοι πραγματοποίησαν μαζικές σαρώσεις για ευπάθειες σε διακομιστές οργανισμών, προσπαθώντας να εκμεταλλευτούν ευπάθειες όπως οι CVE-2022-26134 (Atlassian OGNL Injection), CVE-2021-44228 (Log4j), CVE-2017-9805 (Apache Struts) και CVE-2017-17562 (GoAhead RCE). Αυτές οι δραστηριότητες σάρωσης δημιούργησαν τη βάση για τις επόμενες προσπάθειες εκμετάλλευσης και παραβίασης του δικτύου.
Οι αναλυτές ασφαλείας της Symantec εντόπισαν πολλαπλούς τακτικούς δείκτες που συνδέουν αυτήν την εκστρατεία με καθιερωμένες κινεζικές ομάδες απειλών, συμπεριλαμβανομένων των Space Pirates, Kelp (Salt Typhoon) και Earth Longzhi.
Δείτε επίσης: Το Landfall spyware στόχευσε Samsung Galaxy τηλέφωνα
Κινέζοι hackers χρησιμοποίησαν DLL sideloading για persistence
Τα εγκληματολογικά στοιχεία έδειξαν άμεσα την απόδοση στην Κίνα μέσω αρκετών μεθοδολογιών επίθεσης. Οι επιτιθέμενοι χρησιμοποίησαν DLL sideloading ως κύριο μηχανισμό persistence, αξιοποιώντας ένα νόμιμο VipreAV component με το όνομα vetysafe.exe για την εκτέλεση κακόβουλου payload sbamres.dll.
Αυτή η τεχνική εκμεταλλεύεται το dynamic library search order των Windows, “φυτεύοντας” κακόβουλο κώδικα που οι νόμιμες εφαρμογές φορτώνουν και εκτελούν αυτόματα. Οι επιτιθέμενοι δημιούργησαν μια προγραμματισμένη εργασία που εκτελείται κάθε 60 λεπτά με προνόμια SYSTEM, εκτελώντας το msbuild.exe για να φορτώσει ένα άγνωστο αρχείο διαμόρφωσης XML που περιέχει ενσωματωμένο κώδικα.
Δείτε επίσης: Η ομάδα Cavalry Werewolf επιτίθεται σε κυβερνητικούς οργανισμούς
Αυτός ο κώδικας στη συνέχεια καθιέρωσε επικοινωνία με έναν διακομιστή εντολών και ελέγχου. Η εξελιγμένη προσέγγιση επέτρεψε στους επιτιθέμενους να διατηρήσουν επίμονη πρόσβαση ενώ απέφευγαν τους παραδοσιακούς μηχανισμούς ανίχνευσης ασφαλείας, επιδεικνύοντας εξελισσόμενες ικανότητες στη στόχευση ιδρυμάτων πολιτικής των ΗΠΑ.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
