Российские хакеры несколько лет шпионили за казахстанским МИДом

cover Фото: Elements.envato.com

Хакеры, предположительно связанные с Кремлём, организовали массированную кампанию по сбору стратегически важной информации в странах Центральной Азии, включая Казахстан, сообщает Orda.kz.

Как пишет Infosecurity Magazine со ссылкой на отчёт компании Sekoia, которая занимается вопросами цифровой безопасности, против казахстанских и кыргызстанских дипломатов использовали утилиту для кибервторжений под условным названием UAC-0063. Её разработали в России.

«Кампания включала использование заражённых документов Microsoft Word, с помощью которых распространялись вредоносные программы HatVibe и CherrySpy, для сбора стратегически важной информации о дипломатических и экономических отношениях Казахстана», — подчёркивает Infosecurity Magazine.

Sekoia начала расследование в октябре прошлого года, обнаружив подозрительный документ в базе данных VirusTotal. В файле содержался макрос, при помощи которого на устройстве получателя активируются вредоносные программы. Сначала на заражённый компьютер «подсаживают» бэкдор HatVibe, а затем более сложный зловред CherrySpy для последующего сбора информации. Известно, что такую же схему уже применяли против украинских научных учреждений.

Скомпрометированы оказались дипломатические письма и административные документы МИДа, созданные с 2021 по 2024 годы. Эти файлы, вероятно, заразили в результате более ранней хакерской атаки. «Почерк» злоумышленников похож на работу российской группировки APT28, которая, как считается, связана с ГРУ и финансируется Кремлём. Можно предположить, что хакеры шпионили за казахстанскими дипломатами несколько лет.

«APT28 неоднократно делала своими целями дипломатические, оборонные и научные секторы стран Европы и Азии, часто используя скрытый фишинг с применением вредоносных макросов и внедрением запланированных задач». Infosecurity Magazine

В отчёте Sekoia указано, что утилиту UAC-0063 в прошлом применяли также против Украины, Израиля, Индии, Кыргызстана и Таджикистана. В заражённых документах через макрос снимали защиту с помощью специального пароля и меняли запись в реестре, чтобы разрешить последующее исполнение макросов по умолчанию. В общей сложности аналитики насчитали 18 «взломанных» файлов.

«Почти все документы принадлежат Министерству иностранных дел Казахстана, будь то переписка, черновые версии документов или внутренние административные заметки. Самые недавние документы — это два дипломатических письма: одно из посольства Казахстана в Афганистане, второе от посольства Казахстана в Бельгии. Оба адресованы центральному руководству МИДа и касаются дипломатического взаимодействия и экономических вопросов. Оба датированы началом сентября 2024-го», — говорится в отчёте Sekoia.

Некоторые заражённые документы касались работы президента Токаева. В частности, речь идёт о служебных записках и брифингах, посвящённых государственному визиту главы государства в Монголию и его встрече с представителями американских компаний в Нью-Йорке.

Единственный заражённый документ, не относящийся напрямую к Казахстану, — это письмо Минобороны Кыргызстана, посвящённое военному сотрудничеству между странами Центральной Азии. В нём, среди прочего, содержится информация о «специальной операции КНР против Тайваня».

По иронии, один из самых ранних заражённых файлов — это служебная записка, созданная в июле 2021 года и адресованная руководителям казахстанских дипучреждений за рубежом. В ней сотрудникам посольств рекомендовали проявлять особую бдительность и опасаться участившихся кибератак. Похоже, что этот полезный совет не пошёл впрок.

Редакция Orda.kz направит официальные запросы в МИД РК и МЦРИАП, а также обратится за комментарием в Центр анализа и расследования кибератак.

Это не первый случай, когда зарубежные хакеры воруют ценную информацию о Казахстане. В начале 2024 года разгорелся крупный скандал, связанный с массовой утечкой данных, в том числе персональных сведений о казахстанских силовиках. За той атакой стояли спецслужбы Китая, хотя официально власти Казахстана этого так и не признали.

Читайте также:

Лента новостей

все новости