Хакеры-шпионы, связанные с Китаем, провели серию атак на десятки организаций по всему миру
изображение: recraft
Специалисты компании SentinelOne сообщили о масштабной кампании цифрового шпионажа, в которую попали более 70 организаций. Как уточняется в отчёте, распространённом Александром Миленкоски и Томом Хегелем, следы этой деятельности тянутся с июля 2024 года и продолжаются до марта 2025 года. В документе подчёркивается, что действия злоумышленников не ограничивались одной отраслью — в зону риска попали предприятия, органы власти, научные учреждения и медиакомпании.
Исследователи SentinelOne обратили внимание на то, что в число пострадавших вошла южноазиатская государственная структура, европейская медийная организация и десятки других компаний из финансовой сферы, производственной отрасли, телекоммуникационного сегмента и научных кругов. При этом одна из атак затронула подрядчика, отвечавшего за логистику технического оборудования сотрудников SentinelOne — эта организация была скомпрометирована в самом начале 2025 года.
По мнению экспертов, за действиями стоит группа, связанная с КНР. В некоторых случаях зафиксирована активность, пересекающаяся с деятельностью хакерского объединения PurpleHaze. Эта структура, в свою очередь, ассоциируется с ранее известными группами APT15 и UNC5174, также приписываемыми Китаю. В отчёте уточняется, что PurpleHaze обладает устойчивыми признаками разведывательной направленности, что подтверждается характером её действий.
Впервые SentinelOne заметила подозрительные действия в апреле 2024 года. Тогда специалисты компании зафиксировали попытки внешнего взаимодействия с внутренними серверами, имеющими публичный доступ из-за выполняемых задач. По оценке аналитиков, на этом этапе злоумышленники лишь проводили разведку и анализ инфраструктуры, чтобы понять, насколько потенциальные цели доступны для последующих вмешательств.
Исследователи подчёркивают, что пока неясно, ограничились ли хакеры атакой на конкретного подрядчика или собирались проникнуть глубже в экосистему SentinelOne и её клиентов. Дополнительный анализ показал, что на протяжении всей кампании действовало как минимум шесть активных кластеров. Каждому присвоили отдельное обозначение — от A до F. Один из них был впервые зафиксирован в июне 2024 года, когда злоумышленники получили несанкционированный доступ к серверам неназванной южноазиатской госорганизации.
