Российские хакеры несколько лет шпионили за казахстанским МИДом

Хакеры, предположительно связанные с Кремлём, организовали массированную кампанию по сбору стратегически важной информации в странах Центральной Азии, включая Казахстан, сообщает Orda.kz.

Как пишет Infosecurity Magazine со ссылкой на отчёт компании Sekoia, которая занимается вопросами цифровой безопасности, против казахстанских и кыргызстанских дипломатов использовали утилиту для кибервторжений под условным названием UAC-0063. Её разработали в России.

Sekoia начала расследование в октябре прошлого года, обнаружив подозрительный документ в базе данных VirusTotal. В файле содержался макрос, при помощи которого на устройстве получателя активируются вредоносные программы. Сначала на заражённый компьютер «подсаживают» бэкдор HatVibe, а затем более сложный зловред CherrySpy для последующего сбора информации. Известно, что такую же схему уже применяли против украинских научных учреждений.

Скомпрометированы оказались дипломатические письма и административные документы МИДа, созданные с 2021 по 2024 годы. Эти файлы, вероятно, заразили в результате более ранней хакерской атаки. «Почерк» злоумышленников похож на работу российской группировки APT28, которая, как считается, связана с ГРУ и финансируется Кремлём. Можно предположить, что хакеры шпионили за казахстанскими дипломатами несколько лет.

«APT28 неоднократно делала своими целями дипломатические, оборонные и научные секторы стран Европы и Азии, часто используя скрытый фишинг с применением вредоносных макросов и внедрением запланированных задач». Infosecurity Magazine

В отчёте Sekoia указано, что утилиту UAC-0063 в прошлом применяли также против Украины, Израиля, Индии, Кыргызстана и Таджикистана. В заражённых документах через макрос снимали защиту с помощью специального пароля и меняли запись в реестре, чтобы разрешить последующее исполнение макросов по умолчанию. В общей сложности аналитики насчитали 18 «взломанных» файлов.

Некоторые заражённые документы касались работы президента Токаева. В частности, речь идёт о служебных записках и брифингах, посвящённых государственному визиту главы государства в Монголию и его встрече с представителями американских компаний в Нью-Йорке.

Единственный заражённый документ, не относящийся напрямую к Казахстану, — это письмо Минобороны Кыргызстана, посвящённое военному сотрудничеству между странами Центральной Азии. В нём, среди прочего, содержится информация о «специальной операции КНР против Тайваня».

По иронии, один из самых ранних заражённых файлов — это служебная записка, созданная в июле 2021 года и адресованная руководителям казахстанских дипучреждений за рубежом. В ней сотрудникам посольств рекомендовали проявлять особую бдительность и опасаться участившихся кибератак. Похоже, что этот полезный совет не пошёл впрок.

Редакция Orda.kz направит официальные запросы в МИД РК и МЦРИАП, а также обратится за комментарием в Центр анализа и расследования кибератак.

Это не первый случай, когда зарубежные хакеры воруют ценную информацию о Казахстане. В начале 2024 года разгорелся крупный скандал, связанный с массовой утечкой данных, в том числе персональных сведений о казахстанских силовиках. За той атакой стояли спецслужбы Китая, хотя официально власти Казахстана этого так и не признали.

Читайте также:

• Хакеры атакуют госслужащих и работников квазигоссектора в Казахстане
• Цифровая дыра: почему личные данные казахстанцев постоянно утекают
• Беззащитные терабайты: как иностранные кибершпионы украли личные данные казахстанцев