Μια νέα έξαρση καταστροφικών κυβερνοεπιθέσεων αποκαλύπτει η τελευταία Έκθεση Δραστηριότητας APT της ESET, καταγράφοντας ανησυχητικές εξελίξεις στην Ουκρανία, την ΕΕ και την Ασία. Η έκθεση καλύπτει την περίοδο από τον Οκτώβριο του 2024 έως τον Μάρτιο του 2025 και παρουσιάζει τις πιο πρόσφατες δραστηριότητες ομάδων προηγμένων επίμονων απειλών (Advanced Persistent Threats - APTs), με έμφαση στις εντεινόμενες ενέργειες ομάδων, που συνδέονται με τη Ρωσία.

Σύμφωνα με την ESET, η Ουκρανία συνεχίζει να δέχεται το σφοδρότερο πλήγμα από στοχευμένες επιθέσεις σε κρίσιμες υποδομές και κυβερνητικούς φορείς. Η διαβόητη ομάδα Sandworm, με γνωστούς δεσμούς με τη ρωσική GRU, επέστρεψε στο προσκήνιο με ένα νέο καταστροφικό εργαλείο τύπου wiper, το ZEROLOT, το οποίο αναπτύχθηκε για να πλήξει εταιρείες ενέργειας. Οι επιθέσεις βασίστηκαν σε παραβίαση των πολιτικών ομάδων του Active Directory, κάτι που επιβεβαιώνει την τεχνική πολυπλοκότητα και την καταστροφική στόχευση της ομάδας.

Η ESET καταγράφει άνοδο των επιθέσεων από APTs με κρατική υποστήριξη σε Ευρώπη και Ασία

Την ίδια στιγμή, η ομάδα Gamaredon ενίσχυσε τη θέση της ως η πλέον ενεργή απειλή κατά της Ουκρανίας, παρουσιάζοντας το PteroBox, ένα εργαλείο κλοπής αρχείων, που αξιοποιεί το Dropbox. Η ομάδα Sednit, από την άλλη, επέκτεινε την εκστρατεία Operation RoundPress στοχεύοντας πολλαπλές πλατφόρμες webmail, ενώ εκμεταλλεύτηκε και ευπάθεια μηδενικής ημέρας στον MDaemon (CVE-2024-11182). Επιθέσεις καταγράφηκαν σε εταιρείες άμυνας σε Ουκρανία και Βουλγαρία, κυρίως μέσω στοχευμένων εκστρατειών phishing.

Χώρες στο στόχαστρο

Προχωρώντας εκτός Ευρώπης, η έκθεση αποκαλύπτει έντονη δραστηριότητα κινεζικών APTs, με επιθέσεις κατασκοπείας σε κυβερνήσεις και ακαδημαϊκούς θεσμούς. Η ομάδα Mustang Panda χρησιμοποίησε μολυσμένα USB και Korplug loaders για να στοχεύσει οργανισμούς μεταφορών, ενώ η Webworm στόχευσε κρατική υπηρεσία στη Σερβία με χρήση του SoftEther VPN, αναδεικνύοντας τη δημοφιλία του συγκεκριμένου εργαλείου ανωνυμίας μεταξύ απειλητικών φορέων.

Ιδιαίτερα έντονη ήταν η παρουσία και των βορειοκορεατικών ομάδων. Η DeceptiveDevelopment διεύρυνε τις δραστηριότητές της, χρησιμοποιώντας ψεύτικες αγγελίες εργασίας και κοινωνική μηχανική για να διανείμει το WeaselStore, ένα κακόβουλο λογισμικό πολλαπλών πλατφορμών. Σημαντικό πλήγμα αποτέλεσε η κλοπή $1,5 δισ. από την Bybit, που αποδόθηκε από το FBI στην ομάδα TraderTraitor, μέσω παραβίασης της εφοδιαστικής αλυσίδας του Safe{Wallet}.

Παράλληλα, οι ομάδες Kimsuky και Konni επανενεργοποιήθηκαν στις αρχές του 2025, στρέφοντας το ενδιαφέρον τους κυρίως προς τη Νότια Κορέα και διπλωμάτες, εγκαταλείποντας δυτικούς στόχους. Εξίσου αξιοσημείωτη είναι η επιστροφή της ομάδας Andariel, με μια σύνθετη επίθεση σε εταιρεία βιομηχανικού λογισμικού.

Η δραστηριότητα ιρανικών APTs εστιάστηκε στη Μέση Ανατολή, με επιθέσεις σε τομείς, όπως η μεταποίηση και η μηχανική στο Ισραήλ, ενώ η παγκόσμια αύξηση κυβερνοεπιθέσεων σε εταιρείες τεχνολογίας αποδίδεται, επίσης, στη DeceptiveDevelopment.

“Οι επιθέσεις, που καταγράφηκαν, είναι αντιπροσωπευτικές των βασικών τάσεων και απειλών που παρατηρούνται παγκοσμίως, προσθέτοντας ότι οι πληροφορίες της έκθεσης βασίζονται σε ιδιόκτητα δεδομένα τηλεμετρίας και εμπεριστατωμένες τεχνικές αναλύσεις από την ερευνητική ομάδα της ESET”, αναφέρει η εταιρεία κυβερνοασφάλειας.