Подозреваемые китайские хакеры проникли в иностранные министерства через почтовые серверы Microsoft

Подозреваемые китайские хакеры взломали почтовые серверы Microsoft Exchange, используемые иностранными министерствами, согласно новым данным от Palo Alto Networks.

Дивизион компании по безопасности Unit 42 отслеживает эту группу уже почти три года. Исследователи заявили, что операция представляет собой долгосрочные усилия по чтению и сбору частных коммуникаций дипломатов по всему миру.

Unit 42 подтвердил, что хакеры имели полный доступ для поиска информации внутри почтовых серверов некоторых министерств. Они специально искали термины, связанные с саммитом Китай-Араб, который состоялся в Эр-Рияде, Саудовская Аравия, в 2022 году, сказал старший исследователь Лиор Рохбергер.

Команда сказала, что хакеры также искали имена президента Китая Си Цзиньпина и его жены Пэн Лиюань в связи с тем саммитом. Исследователи отказались называть страны, подвергшиеся атаке, но заявили, что активность «последовательно соответствует экономическим и геополитическим интересам Китайской Народной Республики (КНР)».

Исследователи отследили хакеров до кампании Phantom Taurus

«Когда я обнаружил, что они ищут конкретные дипломатические ключевые слова, а затем эксфильтруют письма из посольств и военных операций, я понял, что это серьезная попытка сбора разведданных», — сказал Рохбергер. Palo Alto Networks называет эту хакерскую группу Phantom Taurus.

Компания сообщила, что взломы вышли за рамки простого шпионажа, показывая фокус на стратегических событиях и военных передвижениях.

Лю Пэнъюй, представитель посольства Китая в Вашингтоне, ответил, что хакерство является проблемой для всех стран, включая Китай, и что правительство выступает против всех форм кибератак.

«Киберпространство высоко виртуально, его трудно отследить, и оно включает разнообразный круг акторов», — сказал он. «Отслеживание источника кибератак — это сложная техническая проблема, требующая твердых и полных доказательств».

Отчет Palo Alto Networks также выделил, как подозреваемые китайские хакеры теперь нацеливаются на отрасли по всему миру. 24 сентября Alphabet Inc.’s Google заявила, что китайская группа скомпрометировала технологические компании США.

Ранее в сентябре подозреваемые злоумышленники выдавали себя за председателя Специального комитета Палаты представителей по Китаю от Республиканской партии в попытке украсть конфиденциальные данные о торговых переговорах, согласно комитету.

Асаф Дahan, директор по разведке угроз в Palo Alto Networks, сказал, что многие взломы Phantom Taurus имели «тесную корреляцию с конкретными геополитическими событиями или военными маневрами». В отчете также говорилось, что другие шпионские активности искали информацию, связанную со странами, включая Афганистан и Пакистан.