Китайская кибергруппировка работает с 9 до 19, используя деление пейлоада

Китайская кибергруппировка работает с 9 до 19, используя деление пейлоада

Китайская кибергруппировка работает с 9 до 19, используя деление пейлоада

Китайская киберпреступная группировка APT41 (другое имя — Winnti) давно привлекает внимание специалистов своим профессиональным подходом к кибератакам. В этот раз активность группы проанализировала компания Group-IB.

Согласно данным экспертов из Group-IB Threat Intelligence, за 2021 год кибергруппировке удалось проникнуть в сети как минимум 13 организаций по всему миру. Исследователи отдельно выделяют анализ «рабочих дней» хакеров.

Активность APT41 уходит корнями аж в 2007 год, причём кибергруппа преследует не только цели кибершпионажа, но и пытается получить финансовую выгоду в ходе атак. В Group-IB выделяют четыре кампании, которые APT41 провела за прошлый год.

Киберпреступники атакуют преимущественно госсектор, сферу здравоохранения, логистики, а также образовательные организации и гостиницы. География операций группы достаточно обширна — среди атакуемых стран есть Китай, Вьетнам, Индия, Тайвань и США.

 

В ходе кампаний злоумышленники используют следующие инструменты для разведки: Acunetix, Nmap, SQLmap, OneForAll, subdomain3, subDomainsBrute, Sublist3r. Интересно, что в начале 2022 года стало известно о применении APT41 UEFI-вредоноса MoonBounce, который невозможно удалить даже заменой жёсткого диска.

Атаки Winnti начинаются «по классике»: жертва получает фишинговое письмо, после чего группировка пытается использовать одну из известных уязвимостей (фигурирует та же Proxylogon). Тем не менее Group-IB отметила ещё один вектор — SQL-инъекции, которые реализуются на сайтах с помощью инструмента SQLmap. Таким способом хакеры проникли в сети жертвы в половине случаев (оказались уязвимы 43 из 86 веб-ресурсов).

Ещё из уникального в атаках APT41 эксперты отмечают ранее не фигурировавший способ деления полезной нагрузки, для чего применялся кастомизированный маячок Cobalt Strike (Beacon). Кстати, в прошлом году этот инструмент был портирован на Linux.

Сначала его компилировали, потом кодировали в Base64, после чего разбивали ровно по 775 символов и добавляли в текстовый файл через определённую команду. Даже отдельные серверы группировки были заточены на размещение фреймворка Cobalt Strike. Помимо этого, хакеры использовали уникальные SSL-сертификаты, замаскированные под Microsoft, Facebook (признана экстремистской, деятельность запрещена на территории России) и CloudFlare.

Одним из самых интересных моментов исследования Group-IB Threat Intelligence является анализ всех временных меток атакующих под UTC+8. Так специалистам удалось выяснить, что группировка начинает активность в 9 часов утра и заканчивает — к 19 часам.

 

На рабочих станциях используются китайские символы. Аналитики обратили внимание на применение специфического формата Pinyin для названия директорий.

Заявки на ремонт сетевого оборудования в России выросли на 120%

Российские компании всё чаще выбирают ремонт и обслуживание сетевого оборудования вместо его замены. И дело не только в экономии. По данным «К2Тех», количество обращений бизнеса по вопросам ремонта и обслуживания корпоративной сетевой инфраструктуры по итогам 2025 года выросло сразу на 120%.

При этом число самих заказчиков увеличилось всего на 8%. Для сравнения: годом ранее количество заявок росло лишь на 9%.

Одна из главных причин — стареющее оборудование зарубежных производителей, прежде всего Cisco и Huawei. После ухода части вендоров с российского рынка и сокращения возможностей параллельного импорта компаниям всё сложнее находить замену вышедшим из строя устройствам.

В результате бизнес начал выжимать максимум из имеющейся техники. Как отмечают в Т1, многие организации сегодня пытаются продлить срок службы оборудования до 10–12 лет вместо традиционного цикла обновления.

Чаще всего ломаются блоки питания, вентиляторы и линейные карты. Но проблема уже выходит за рамки обычного износа. По словам экспертов, значительная часть установленного оборудования фактически приближается к пределу своего жизненного цикла.

Ситуацию осложняет и технологический зоопарк, который сегодня встречается во многих компаниях. В одной инфраструктуре могут одновременно работать российские, азиатские и западные решения. Всё это приходится интегрировать между собой, а поиск причин сбоев становится всё более сложной задачей.

Дополнительные сложности создают устаревшая документация, отсутствие единых стандартов управления сетями и нехватка специалистов.

В Softline отмечают, что проблема уже не сводится только к возрасту оборудования. Инфраструктуры становятся более распределёнными, растут объёмы данных, появляются облачные сервисы, усиливаются требования к кибербезопасности. В результате даже исправная техника может не справляться с новыми нагрузками.

Рост обращений продолжается и в 2026 году. По данным Т1, только в феврале число заявок увеличилось на 19% по сравнению с январём, а в марте выросло ещё на 10%.

Эксперты не ждут быстрого улучшения ситуации. По оценкам «К2Тех», выйти на плато рынок сможет не раньше чем через пять лет. До этого момента бизнесу, вероятно, придётся и дальше поддерживать работоспособность старого «железа», потому что покупка нового оборудования всё чаще обходится в десятки миллионов рублей.

RSS: Новости на портале Anti-Malware.ru