Китайские хакеры превратили удары США по Ирану в подарок для своей разведки

Связанные с Китаем хакерские группировки воспользовались обострением вокруг Ирана для проникновения в морские, энергетические и политические структуры региона Персидского залива. Об этом сообщили аналитики ESET в отчёте от 28 мая. Атакующие усилили давление на сектора, где геополитика смыкается с поставками нефти, газа, портовой логистикой и судоходством.

Аналитики компании описывают, как крупные APT-команды относятся к международным кризисам почти как к открытой двери в серверной. Пока бизнес и политические институты заняты срочными рисками, злоумышленники прощупывают периметр, рассылают приманки и закрепляются в системах, которые в спокойное время защищены заметно плотнее.

Регион Персидского залива оказался под особым вниманием Пекина. Для Китая это не точка на карте, а узел, где сходятся торговые маршруты, инфраструктурные проекты и дипломатические рычаги. По наблюдениям ESET, атаки китайских групп распределились по нескольким направлениям. Среди приоритетных целей оказались:

• морские перевозчики и портовые операторы Залива;
• энергетические компании, работающие с нефтью и газом;
• политические организации и правительственные структуры;
• логистические узлы, через которые идут поставки топлива.

Любопытно, что подобная активность давно перестала быть просто технической историей. Это, по сути, цифровой радар, который помогает Пекину видеть состояние перевозок, портов и инфраструктурных планов соседей.

Интерес Китая не замкнулся на Заливе. Группа SteppeDriver атаковала сети сирийского правительства. В ESET допускают, что мотив связан с коммерческими планами Пекина по будущему восстановлению Сирии, а также с опасениями из-за уйгурских боевиков на сирийской территории.

С октября 2025 по март 2026 года китайские команды проявили заметный интерес к Латинской Америке. Группа FamousSparrow атаковала венесуэльское ведомство, связанное с морскими вопросами. Аналитики предполагают, что Пекин отслеживал устойчивость нефтяных поставок после американского военного удара в январе. Параллельно UNC5221 распространяла вредоносное ПО против организаций в Камбодже и Панаме, а также атаковала южнокорейскую компанию из сферы ИИ и робототехники.

География операций китайских групп за отчётный период выглядит так:

• Центральная Америка с упором на правительственные структуры;
• Венесуэла и морской сектор;
• Сирия и государственные сети;
• Южная Корея с фокусом на ИИ и роботизацию;
• страны Персидского залива.

Русскоязычные APT-команды продолжают концентрироваться на Украине. В фокусе остаются армия, оборонные предприятия, производители беспилотников и исследовательские центры, работающие с дронами. Под удар также попали логистические и транспортные компании за пределами страны, и ESET оценивает такие операции как попытку расшатать цепочки поставок оборонной отрасли.

Группа Sandworm заметно нарастила разрушительную активность. Её связывают с применением программ класса wiper, которые не крадут данные, а стирают их и выводят системы из строя. Атаку на польский энергетический сектор в декабре 2025 года ESET ранее уже связывала с этой командой.

Стоит обратить внимание, что энергетика остаётся одной из самых лакомых целей. Взлом здесь бьёт не только по компьютерам, а по реальным процессам диспетчеризации, поставкам и обслуживанию объектов.

С иранскими группами картина оказалась двойственной. После американских ударов по Ирану активность существующих APT-команд снизилась, и вероятная причина связана с ограничениями доступа к интернету внутри страны. Когда каналы связи режутся, поддерживать привычный темп операций становится сложнее. Зато усилились группы-посредники и хактивисты, действующие в интересах Тегерана.

Их целями стали страны, воспринимаемые как противники Ирана, прежде всего США и Израиль. На Ближнем Востоке именно Израиль оставался главным объектом операций. Под атаки попали:

• структуры, столкнувшиеся со шпионскими проникновениями;
• производители оборудования с признаками деструктивных действий;
• организации, связанные с обороной и технологиями.

Ранее Пекин ограничил зарубежные поездки ведущих специалистов по ИИ из Alibaba, DeepSeek и ряда частных компаний. После эпизода со стартапом Manus, чью команду пыталась переманить американская корпорация, китайские ИИ-инженеры фактически превратились в стратегический ресурс государства.

Современные APT-группы давно не работают хаотично. Они следят за кризисами, выбирают отрасли с высокой ценностью данных и используют любой геополитический перегрев как шанс для проникновения. Для морских операторов, энергетических и технологических компаний вывод неприятный, ведь карта угроз перестраивается не только после публикации новых уязвимостей, но и после каждого крупного международного события.

Эксперты редакции CISOCLUB уверены, что превращение геополитических кризисов в окно для кибератак стало устойчивой нормой, а не разовым приёмом. Морская и энергетическая отрасли Залива оказались в положении, где техническая защита уже не успевает за политическим календарём. Китайские группы выстроили долгую игру, в которой кибершпионаж работает на промышленную программу страны и её внешнеэкономические интересы.

Русскоязычные команды показывают, что транспорт и логистика теперь равноценны военным сетям по своей ценности для атакующих. Иранский трек напоминает о роли прокси и хактивистов, которые могут заполнять паузу в работе государственных APT. Компаниям из уязвимых секторов придётся пересматривать модели угроз каждый раз, когда мир входит в очередной виток обострения.