SideWinder APT

Námořní a logistické společnosti v jižní a jihovýchodní Asii, Africe a na Středním východě se staly hlavním cílem skupiny pro pokročilé perzistentní hrozby (APT) známé jako SideWinder. Nedávné kybernetické útoky pozorované v roce 2024 zasáhly organizace v Bangladéši, Kambodži, Džibutsku, Egyptě, Spojených arabských emirátech a Vietnamu.

Kromě námořních sektorů se SideWinder zaměřil také na jaderné elektrárny a jadernou energetickou infrastrukturu v jižní Asii a Africe. Mezi další postižená odvětví patří telekomunikace, poradenství, IT služby, realitní kanceláře a dokonce i sektory pohostinství, jako jsou hotely.

Diplomatické cíle a indické spojení

V rámci významného rozšíření své útočné stopy zahájil SideWinder také kybernetické operace proti diplomatickým subjektům v Afghánistánu, Alžírsku, Bulharsku, Číně, Indii, na Maledivách, ve Rwandě, Saúdské Arábii, Turecku a Ugandě. Konkrétní zaměření skupiny na Indii je významné vzhledem k předchozím spekulacím, že aktér hrozby může být indického původu.

Neustále se vyvíjející a nepolapitelný protivník

SideWinder je známý svým neustálým vývojem a odborníci ho popisují jako „vysoce pokročilého a nebezpečného protivníka“. Skupina neustále vylepšuje své sady nástrojů, vyhýbá se detekcím bezpečnostního softwaru a zajišťuje dlouhodobou perzistenci v ohrožených sítích při minimalizaci své digitální stopy.

StealerBot: Nástroj pro smrtící špionáž

V říjnu 2024 provedli výzkumníci v oblasti kybernetické bezpečnosti hloubkovou analýzu SideWinder a odhalili její použití StealerBot – modulární sadu nástrojů po zneužití navrženou k extrahování citlivých dat z kompromitovaných systémů. Zájem SideWinder o námořní průmysl byl již dříve zdokumentován v červenci 2024, což zdůrazňuje jeho vytrvalý a cílený přístup.

The Attack Method: Spear-phishing a Exploits

Nejnovější útoky se řídí známým vzorem. Spear-phishingové e-maily slouží jako počáteční vektor infekce a přenášejí nebezpečné dokumenty, které využívají známou zranitelnost Microsoft Office (CVE-2017-11882). Po otevření tyto dokumenty spustí vícestupňovou sekvenci a nakonec nasadí .NET downloader s názvem ModuleInstaller, který zase spustí StealerBot.

Výzkumníci potvrdili, že mnoho dokumentů s návnadou odkazuje na agentury pro jadernou energii, jaderné elektrárny, námořní infrastrukturu a přístavní orgány, což naznačuje vysoce strategický přístup k zacílení na kritická průmyslová odvětví.

Přizpůsobení se, abyste měli náskok před bezpečnostními opatřeními

SideWinder aktivně monitoruje bezpečnostní detekce svého malwaru. Jakmile jsou jeho nástroje identifikovány, skupina rychle vyvíjí nové, upravené verze – někdy během pouhých hodin. Pokud bezpečnostní řešení označí své chování, reagují změnou technik perzistence, změnou názvů souborů a cest a úpravou způsobu načítání škodlivých komponent.

Díky neustálému zdokonalování svých metod útoků a rychlému přizpůsobování se protiopatřením zůstává SideWinder trvalou a vyvíjející se kybernetickou hrozbou pro klíčová průmyslová odvětví po celém světě.