Kapjon átfogó képet a támadók technikáiról, infrastruktúrájáról
és attribútumairól, hogy elháríthassa a rejtett hacker kampányok
okozta fenyegetéseket. Használja az ESET AI Advisor szolgáltatását,
amely több évtizedes kutatáson alapul, és kérje szakértőink gyakorlati
tanácsát a védelme megerősítéséhez.
A globális fenyegetés-figyelés vakfoltjai
A megfigyelési adatok többsége az Egyesült Államokra fókuszál, így az ügyfeleink számára fontos más régiók általában nem kapnak akkora figyelmet. Hogyan lehet a támadások előtt felismerni az Európát, az ázsiai-csendes-óceáni térséget és a magas kockázatú szektorokat célzó fenyegetéseket?
A támadók azonosítása rendkívül bonyolult lehet
A kifinomult kampányok eredetét a hackerek általában titkolják. Alapos kutatás és megfelelő kontextus nélkül a támadások konkrét szereplőkhöz vagy geopolitikai indítékokhoz való kapcsolása csupán találgatás. Képes-e az Ön IT-csapata magabiztosan azonosítani a fejlett fenyegetéseket?
Késleltetett vagy általános APT-jelentések
Mire a jelentések eljutnak Önhöz, a támadók már lehet, hogy továbbálltak. Az általános összefoglalókból hiányoznak a konkrét, cselekvésre ösztönző részletek. Hogyan juthat időben olyan technikai információkhoz, amelyek valóban javítják a biztonsági helyzetét?
A támadók taktikáinak korlátozott ismerete
Nem elég tudni, hogy támadás megtörtént. Ha nem ismerjük pontosan a támadók módszereit és infrastruktúráját, a védelem csak reagálni tud. Van-e elegendő ismerete ahhoz, hogy előre lássa és megakadályozza a következő lépésüket?
VEGYE ÉSZRE, AMIT MÁSOK NEM
Tudjon meg mindent a szervezetét érintő APT-csoportok motivációiról, célpontjairól és taktikáiról.
ERŐSÍTSE MEG VÉDELMÉT, MÉG A TÁMADÁSOK ELŐTT
Használja a gondosan összeállított, gyakorlatban is alkalmazható threat intelligence adatokat az észlelési szabályok frissítéséhez, a kritikus eszközöket fenyegető kockázatok csökkentéséhez, valamint az incidenskezelési forgatókönyvek finomításához.
BENNFENTES ISMERETEK ÜGYFELEINK SZÁMÁRA
Férjen hozzá az ESET saját kutatásai és telemetriai adatai alapján összegyűjtött, nem nyilvános információkhoz, beleértve a Kínához, Észak-Koreához, Oroszországhoz és Iránhoz kapcsolódó biztonsági kockázatok részletes elemzését.
BESZÉLGESSEN A KUTATÁSOKAT VÉGZŐ SZAKÉRTŐKKEL
Havonta beszélgetési lehetőséget biztosítunk az ESET elemzőivel, ahol szakértői támogatást, személyre szabott útmutatást és segítséget kaphat a legfontosabb kérdései megoldásában.
Az Analyst Access szolgáltatással havonta akár négy órát konzultálhat az ESET szakértőivel, személyre szabott tanácsokat kaphat, és segítséget kérhet az elemzések értelmezésében, így maximalizálva az APT-információk értékét.
A kéthetente megjelenő Activity Summary riport naprakész tájékoztatást nyújt az APT-tevékenységekről, világos képet adva a kampányokról, a célpontokról és az IoC-kről. Segítséget nyújt hálózati védelem fejlesztésében, és az APT-csoportok legújabb taktikáinak, technikáinak és eljárásainak (TTP-ket) megértésében.
A technikai elemzések feltárják a támadók eszközeit, technikáit és a kampányok működését, gyakorlatban alkalmazható védelmi és helyreállítási útmutatásokkal együtt. Elengedhetetlen azoknak a védelmi szakembereknek, kutatóknak, akik naprakész, gyakorlati információkat keresnek a folyamatosan változó fenyegetésekkel szemben.
A Havi áttekintő riport minden hónapban rövid összefoglalót kínál az APT-fenyegetések helyzetéről a vezetők számára, segítve ezzel a döntéshozókat, információbiztonsági vezetőket a prioritások összehangolásában és a megalapozott döntések meghozatalában.
Az ESET LiveAI mesterséges intelligencián alapuló összefoglalókat és elemzéseket készít az APT-jelentésekből, segítve ezzel az adatok gyors értelmezését, valamint a gyors és megalapozott döntések meghozatalát.
APT Reports
APT Reports
Advanced
APT Reports
Ultimate
eCrime-jelentések
Könnyen értelmezhető és hasznosítható információk a pénzügyi motivációjú kiberbűnözési műveletekről és a rosszindulatú programok ökoszisztémáiról.
Feedek
Valós idejű, válogatott adatfolyamok, amelyek automatizálásra és integrációra lettek kialakítva.
Az ESET kutatásai és telemetriai adatai feltárják a globális APT-tevékenységek mögött
álló infrastruktúrát, taktikai módszereket és kampányokat –az államilag
támogatott kémkedéstől a régió-specifikus műveletekig.
Ismerje meg a fenyegetések mögött álló szereplőket!
FÜGGETLEN SZEREPLŐK
FELTEHETŐEN OROSZORSZÁGHOZ KÖTHETŐ CSOPORTOK
FELTHETŐEN PAKISZTÁNHOZ KÖTHETŐ CSOPORTOK
MÁS, FELTHETŐEN KÖZEL-KELETI CSOPORTOK
MÁS, FELTHETŐEN KELET-EURÓPAI CSOPORTOK
MÁS, FELTHETŐEN KELET-ÁZSIAI CSOPORTOK
FELTHETŐEN ÉSZAK-KOREÁHOZ KÖTHETŐ CSOPORTOK
FELTHETŐEN IRÁNHOZ KÖTHETŐ CSOPORTOK
FELTHETŐEN INDIÁHOZ KÖTHETŐ CSOPORTOK
FELTEHETŐEN KÍNÁHOZ KÖTHETŐ CSOPORTOK
FELTHETŐEN KÖZÉP-ÁZSIÁHOZ KÖTHETŐ CSOPORTOK
Legalább 2019 óta aktív. A csoport eszköztára elsősorban kémkedésre szolgál. Célpontjai az európai, közel-keleti és dél-ázsiai kormányzati és diplomáciai szervezetek. A csoport kevéssé ismert és csak 2023-ban írt róla nyilvánosan a Kaspersky.
Oroszországhoz kötődő elkövetőcsoport, amelyet az ESET kutatói fedeztek fel. Legalább 2008 óta aktív, az azonos nevű kiberkémkedési platformjáról ismert. A platform komplex plugin-architektúrájáról és kifinomult hálózati kommunikációjáról nevezetes, amely a Tor-t használja. A csoport litván, orosz, szlovák, török, egyesült arab emírségekbeli, vietnami és ukrán felhasználókat támadott meg, kifejezetten két típusú felhasználót célba véve: az orosz nyelvű, adatvédelemmel foglalkozó felhasználókat és az európai magas rangú szervezeteket, beleértve a diplomáciai képviseleteket és kormányzati intézményeket.
Jól ismert arról, hogy orosz pénzintézeteket és vállalkozásokat támad meg. 2015 vége óta átalakult egy tisztán bűnözői csoportból, - amely pénzügyi haszonszerzés céljából követte el a kiberbűnözést, - egy kelet-európai és közép-ázsiai kiberkémkedést végző szereplővé. Úgy gondoljuk, hogy a csoport Oroszországhoz áll közel, mert egy ukrán célpont ellen Windows-ra vonatkozó zero-day exploit-ot vetett be.
Más néven COLDRIVER, SEABORGIUM, Star Blizzard, Blue Callisto vagy BlueCharlie. Kiberkémkedéssel foglalkozó csoport, amely legalább 2015 óta aktív. Ismert, hogy európai és észak-amerikai kormánytisztviselőket, tanácsadói testületeket és katonai személyeket vesz célba. Fő tevékenységi területe a spearphishing és a webmail-hitelesítő adatok ellopása. 2022 elején a csoport megpróbálta ellopni az ukrán kormánytisztviselők és az ukrán állami vállalatoknál dolgozók webmail-hitelesítő adatait. A támadók valószínűleg ezeket az adatokat használták fel bizalmas e-mailek elolvasására vagy dokumentumok felhős tárhelyekről való ellopására. Ezek a cselekmények nagy valószínűséggel egy, a jelenlegi orosz–ukrán háborúhoz kapcsolódó kiberkémkedési művelet részei voltak. 2023-ban az Egyesült Királyság kormánya szankciókat vezetett be a Callisto két tagja ellen, és a csoportot az FSB 18. Információbiztonsági Központjához kapcsolta.
Legalább 2013 óta aktív. Számos támadásért felelős, főként ukrán kormányzati intézmények ellen, amint azt a CERT-UA és más ukrán hivatalos szervek több jelentése is bizonyítja. Az ukrán biztonsági szolgálat (SBU) a csoportot az FSB 18. Információbiztonsági Központjához kapcsolta, amely a megszállt Krím-félszigetről működik. Az ESET úgy véli, hogy a csoport együttműködik az InvisiMole-lal. 2025 eleje óta dokumentáltuk a Turla-val való együttműködését is.
Oroszországhoz kötődő kiberkémkedési csoport, legalább 2022 óta aktív. Szakterülete a hitelesítő adatok ellopására irányuló spearphishing-kampányok és az e-mail üzenetek ellopása a Roundcube XSS-sebezhetőségeinek kihasználásával. Általános célpontjai között szerepelnek a görög, lengyel, szerb és ukrán kormányzati és védelmi szervezetek.
Oroszországhoz kötődő csoport, legalább 2013 óta aktív. Kifejezetten célzott kiberkémkedési támadásokról ismert kormányzati intézmények, katonai szervezetek és diplomáciai képviseletek ellen. 2021 óta fokozott aktivitással, főként ukrán célpontokra koncentrál, de örményországi, belorusz, görög és orosz szervezeteket is megcélzott már. Az ESET úgy véli, hogy a csoport együttműködik az FSB-hez kapcsolódó Gamaredon csoporttal.
Oroszországban élő ukránokat és disszidenseket célzó dezinformációs/PSYOPS kampány. Az ESET 2023-ban egy ukrán védelmi vállalatot és egy uniós ügynökséget célzó spearphishing-kampányokat is észlelt, amelyek célja a Microsoft Office 365-fiókok hitelesítő adatainak ellopása volt. Az Operation Texonto jelenleg nem kapcsolódik egy konkrét szereplőhöz. A TTP-k, a célpontok és az üzenetek terjedése alapján azonban nagy a valószínűsége, hogy a kampányt Oroszország érdekeit szolgáló csoport hajtotta végre.
Más néven Storm-0978, Tropical Scorpius vagy UNC2596 néven is ismert. Oroszországgal szövetséges csoport, amely opportunista kiberbűnözési műveleteket és célzott kémkedési műveleteket hajt végre kiválasztott üzleti vertikumok ellen, valamint hírszerzési információkat gyűjt. Legalább 2022 óta kapcsolódik az úgynevezett „Cuba” zsarolóvírus bevetéséhez. Az utóbbi időben az ukrán kormány és védelmi szektor, a NATO-szövetségesek és több európai kormányzati szervezet ellen irányuló támadásokban vett részt.
Más néven UAC-0056, UNC2589, EmberBear, LorecBear, Lorec53 vagy TA471. Legalább 2021 óta aktív, Ukrajnát és Grúziát célzó kiberkémkedési csoport, úgy gondolják, hogy Oroszországhoz kötődik. Különösen érdeklik a magas rangú célpontok, főleg az ukrán kormányzati szférában. Infostealereket és hátsó ajtókat telepít a megfertőzött gépekre, 2022-ben Cobalt Strike telepítését figyelték meg. Nagy bizonyossággal állapították meg, hogy felelős a 2022-es WhisperGate támadásért.
Oroszországhoz kötődő csoport, amely különböző pusztító támadásokat hajt végre, általában az orosz fő hírszerző igazgatóság (GRU) 74455-ös egységéhez kapcsolják. Leginkább az ukrán energiaágazat ellen 2015-ben és 2016-ban végrehajtott támadásokról ismert, amelyek áramkimaradásokat okoztak. Az ESET a csoport tevékenységét különböző alcsoportok alatt követi nyomon: a TeleBots alcsoport, amely elsősorban az ukrán pénzügyi szervezetek ellen irányuló támadásokkal foglalkozik; a GreyEnergy, amely az azonos nevű rosszindulatú szoftverének kritikus infrastruktúra célpontok ellen történő intenzív használatáról ismert, és amelyet lengyel, ukrán és grúz energiavállalatoknál észleltek. 2018-ban a csoport az Olympic Destroyer nevű adatmegsemmisítő támadást indított a pyeongchangi téli olimpia szervezői ellen. Olyan fejlett rosszindulatú programokat használ, mint az Industroyer, amely ipari vezérlő protokollok segítségével képes kommunikálni az energetikai vállalatok berendezéseivel. 2020-ban az Egyesült Államok Igazságügyi Minisztériuma vádiratot tett közzé hat orosz számítógépes hacker ellen, azzal a váddal, hogy ők készítették elő és hajtották végre a csoport különböző támadásait.
APT28, Fancy Bear, Forest Blizzard vagy Sofacy néven is ismert. Legalább 2004 óta aktív. Az amerikai igazságügyi minisztérium a csoportot a 2016-os amerikai választások előtt a Demokrata Nemzeti Bizottság (DNC) hackelésének egyik felelőseként nevezte meg, és a GRU-hoz kapcsolta. Feltételezhetően ez a csoport áll a globális televíziós hálózat, a TV5Monde feltörése, a Nemzetközi Doppingellenes Ügynökség (WADA) e-mailjeinek kiszivárogtatása és számos más incidens mögött. A csoport eszköztárában sokféle rosszindulatú szoftver található, de manapság elsősorban célzott adathalász kampányokat folytat.
APT29, Cozy Bear vagy Nobelium néven is ismert. Egy hírhedt kiberkémkedő csoport, amely legalább 2008 óta aktív. Az NCSC-UK szerint az SVR-hez (Orosz Föderáció Külföldi Hírszerző Szolgálata) kapcsolódik. Az egyik olyan csoportként ismert, amely a 2016-os választások előtti időszakban feltörte az amerikai Demokrata Nemzeti Bizottság eszközeit. 2019-ben az ESET leleplezte a több európai külügyminisztériumot célzó nagyszabású kémtevékenységét. Ismert a 2020-as, a SolarWinds-re épülő ellátási lánc-támadásáról, amely számos nagy szervezet, köztük az amerikai kormány számos részlegének kompromittálódásához vezetett. Felelős több, 2021-ben végrehajtott spearphishing-kampányért, amelyek célpontjai európai diplomaták voltak.
Más néven Snake. Legalább 2004 óta aktív kiberkémkedési csoport, amely valószínűleg már az 1990-es évek végén is működött. Úgy gondolják, hogy az FSB része. Főként magas rangú célpontokra, például kormányokra és diplomáciai szervezetekre összpontosít Európában, Közép-Ázsiában és a Közel-Keleten. A csoport arról ismert, hogy 2008-ban feltörte az Egyesült Államok Védelmi Minisztérium-, 2014-ben pedig a svájci RUAG védelmi vállalat eszközeit.
Kiberkémkedéssel foglalkozó csoport, amely ukrán kormányzati szervezeteket, pénzintézeteket és médiumokat vesz célba. Legalább 2022 óta aktív. Célpontjai alapján közepes bizonyossággal feltételezhető, hogy a csoport orosz érdekeket szolgál. Általában a LONEPAGE nevű PowerShell letöltőt használja, amelynek neve a C&C linkekben szereplő „page” szóból származik.
Más néven UAC-0020. Oroszországhoz kötődő csoport, amely ukrán kormányzati és katonai célpontok ellen irányuló kiberkémkedési támadásokról ismert. Legalább 2015 óta aktív. A csoportot az úgynevezett Luhanszki Népköztársasággal hozzák összefüggésbe.
Más néven UAC-0063 vagy TAG-110. Oroszországhoz kötődő csoport, amely közép-ázsiai és ukrán kormányzati, katonai és külügyi célpontok ellen irányuló kiberkémkedési támadásokról ismert. Legalább 2015 óta aktív. A Zebrocy rosszindulatú szoftvercsomag célzott támadási kampányokhoz használható, és tartalmazza a kémkedéshez szükséges összes funkciót, például billentyűzetfigyelést, képernyőképek készítését, felderítő modult, fájllistázási- és eltulajdonítási képességeket stb. Moduláris felépítésű, így frissíthető, és az üzemeltetők új modulokat is telepthetnek távolról.
Más néven Operation C-Major, Mythic Leopard, ProjectM, APT36 vagy Earth Karkaddan. Az indiai hadsereget és az ahhoz kapcsolódó eszközöket, valamint pakisztáni aktivistákat és civil társadalmi szervezeteket célzó kiberkémkedési csoport. A Trend Micro és mások bizonyítékokat találtak pakisztáni kapcsolatra. A csoport social engineering és adathalász technikákat alkalmaz a rosszindulatú szoftverek terjesztésére. A múltban hátsó ajtókat, különösen a CrimsonRAT-et telepítette Windows-t futtató eszközökre, alkalmanként az Android hátsó ajtót, az AndroRAT-ot is felhasználva.
APT-C-23, Desert Falcons vagy Two-tailed Scorpion néven is ismert. Kiberkémkedéssel foglalkozó csoport, amely a közel-keleti országokat veszi célba. Legalább 2013 óta aktív. Főként palesztin és izraeli áldozatokat vesz célba, köztük rendfenntartó szerveket, katonákat és kormányzati tisztviselőket, de aktivistákat és diákokat is. Hatalmas malware-arzenált vet be Android, iOS és Windows platformokon, több egyedi hátsóajtót is beleértve. A csoport feltehetően a Hamászhoz kapcsolódik, és a Gázai övezetből működik.
Kiberkémkedésre szakosodott APT-csoport. Feltételezett célja az érzékeny információk ellopása. Zsoldos csoportként is emlegetik, amely széles körű ügyfélkörnek kínál hackelési szolgáltatásokat. Általában közel-keleti és dél-ázsiai szervezeteket és magánszemélyeket vesz célba, kezdeti támadási módszerként spearphishing üzeneteket és hamis alkalmazásokat használva.
A Hamász által támogatott hacktivista csoport. Először a 2023-as izraeli-hamász háború során jelent meg. A csoport arról ismert, hogy Windows és Linux bináris fájlokat használva törlőprogramokat telepít izraeli célpontokra. A csoport első törlőprogramjára a Security Joes talált rá 2023-ban, egy másikat pedig az ESET fedezett fel és jelentett be ugyanabban az évben.
Közel-keleti kiberkémcsoport, amelyet 2020-ban fedeztek fel. Korábban az iraki északon élő kurd etnikai csoportot vette célba. A csoport Windows és Android rendszerű rosszindulatú programokat is használt áldozatai megcélzásához. 2021-ben az ESET bemutatta a csoport teljes kémkedési kampányát, amelyet kurdbarát tartalmakon keresztül terjesztettek a Facebookon, és amely Android-háttérprogramokkal vette célba a mobilfelhasználókat.
Kiberkémkedéssel foglalkozó csoport, amelyet először 2022-ben dokumentáltak. A csoport feltehetően Libanonban működik, és főként izraeli szervezeteket vesz célba. Eszköztára hét egyedi hátsóajtóból áll, köztük egy olyanból, amely a OneDrive és a Dropbox felhőszolgáltatásokat használja C&C célokra, valamint másokból, amelyek a Dropbox és a Mega fájltároló szolgáltatásokat használják. A csoport több egyedi modult is használ kémkedésére.
Az Egyesült Arab Emírségekhez kötődő csoport. 2012 óta aktív. Ismert, hogy közel-keleti politikai aktivistákat, újságírókat és disszidenseket vesz célba. Először a Citizen Lab fedezte fel és írta le 2016-ban publikált kémprogram-támadások elemzésében. 2019-ben az Amnesty International arra a következtetésre jutott, hogy a Stealth Falcon és a Project Raven (amely állítólag volt NSA-ügynököket foglalkoztató szervezet), ugyanaz a csoport.
Más néven PROMETHIUM vagy APT-C-41. Kiberkémkedéssel foglalkozó csoport, amely legalább 2012 óta aktív. Elsősorban törökországi szervezeteket vesz célba, de világszerte is tevékenykedik. Korábban a Windows platformot támadta meg azonos nevű kártevőjével. 2022 végén azonban két, trójai programokat terjesztő kampányt is a csoportnak tulajdonítottak.
Kiberbűnözői csoport, amely mellékesen kiberkémkedési tevékenységet is folytat. Először 2022 márciusában vált ismertté a működésük, miután a csoport az orosz–ukrán háború kezdete után néhány héttel az ukrán menekültek megsegítésében részt vevő európai kormányzati alkalmazottakat vette célba.
Inception Framework néven is ismert. Kiberkémkedési csoport, legalább 2014 óta aktív. A Chronicle biztonsági blog (ma a Google Security Operations része) szerint valószínűleg a Red October nevű korábbi kiberkémkedési csoportból alakult ki, amely valószínűleg két ország együttműködéséből jött létre. A csoport főként kormányokat és stratégiai ágazatokban működő vállalatokat céloz meg, például a védelmi ágazatot Oroszországban, Európában és a Kaukázusban.
Más néven UNC1151, DEV-0257, PUSHCHA, Storm-0257 vagy TA445. Legalább 2016 óta aktív. Állítólag Fehéroroszországból működtetik. A csoport a támadásaival általában Fehéroroszország szomszédos országait célozza meg, de más európai országokban is figyeltek meg hozzájuk köthető támadásokat. Befolyásoló és dezinformációs kampányokat folytatnak, de számos kormányzati és magánszektorbeli szervezetet is kompromittáltak, elsősorban Ukrajnában, Lengyelországban és Litvániában.
Az ESET által először leleplezett kiberkémkedési csoport. Legalább 2014 óta aktív, elsősorban a Fehéroroszországban található külföldi nagykövetségeket veszi célba. 2020 óta a csoport valószínűleg képes adversary-in-the-middle (közbeékelődéses) támadásokat végrehajtani az internetszolgáltatók szintjén Fehéroroszországon belül, hogy megfertőzze célpontjait.
Kiberkémkedést végző csoport, amelyet először 2021-ben fedeztek fel. Feltehetően 2020 óta aktív. Célpontjai az európai és közép-ázsiai kormányok. A csoport fertőző dokumentumokat, adathalász webhelyeket és egy egyedi PowerShell hátsó ajtót használ, hogy megfertőzze célpontjait. 2022 óta a Zimbra és a Roundcube e-mail szervereket is megcélozta. 2023-ban az ESET megfigyelte, hogy a csoport a Roundcube régi XSS sebezhetőségeit használta ki.
Kiberkémkedést végző csoport, legalább 2011 óta aktív. Ismert, hogy kelet-európai (beleértve Oroszországot) és balkáni kormányzati szerveket, például katonaságokat, külügyminisztériumokat és állami tulajdonú vállalatokat vesz célba. A csoport spearphishing e-maileket használ, hogy megfertőzze célpontjait. 2020-ban kihasználta az Internet Explorer egyik sebezhetőségét, amiről akkor még nagyon kevés információ látott napvilágot és nem állt rendelkezésre nyilvános bizonyíték sem. Valószínű, hogy a csoport ezt a sebezhetőséget egy brókertől vásárolta meg.
Más néven False Hunter vagy APT-Q-12. Dél-Koreával szimpatizáló kiberkémcsoport, amely legalább 2018 óta aktív. Főként olyan magas rangú célpontokra koncentrál, mint kormányok, kereskedelmi ágazatok és kutatóközpontok, tanácsadói testületek. Gyakran rendezvényeken csalják tőrbe az áldozataikat, vagy a csoport tagjai diákoknak adják ki magukat, az átverés részeként pedig célpontjaiktól releváns kutatási témákról kérnek véleményezést. Egyedi letöltőprogramokat és moduláris hátsóajtót használnak, amelyeket spearphishing e-maileken keresztül juttatnak el az áldozathoz. A csoport tevékenységét többfajta downloader használata és egy pluginokat betöltő egyedi hátsóajtó jellemzi.
A Lazarus (Észak-Koreához köthető) alcsoportjának tekinthető. Tevékenysége 2009-re nyúlik vissza. A csoport elsősorban dél-koreai célpontokra összpontosít, ideértve mind a kormányzati és a katonai szervezeteket, mind pedig olyan üzleti vállalkozásokat, mint a bankok, a kriptovaluta-tőzsdék és az online brókerek. Céljai elsősorban a kiberkémkedés vagy a pénzügyi haszonszerzés. A csoport nyilvánosságra hozott incidensei között szerepel a 2015-ös szöuli Repülőgép- és Védelmi Kiállítás (ADEX) és a 2019-es indiai Kudankulam atomerőmű (KKNPP) elleni támadás.
Észak-Koreával szimpatizáló csoport, amelyet működését először 2023-ban dokumentálták. Tagjai elsősorban anyagi haszonszerzésre törekednek, Windows, Linux és macOS szoftverfejlesztőket vesznek célba kriptovaluta-lopás céljából, másodlagos céljuk pedig valószínűsíthetően a kiberkémkedés. A csoport hamis toborzói profilokat használ a közösségi médiában. Szoftverfejlesztőket, gyakran kriptovaluta-projektekben részt vevő személyeket keres meg, és hamis állásinterjú-folyamat részeként trójai kódokat juttat el a potenciális áldozatokhoz, amelyek hátsó ajtókat telepítenek.
Észak-Koreához köthető kiberkémkedési csoport, legalább 2013 óta aktív. A csoport kezdetben Dél-Koreával kapcsolatos szervezeteket vett célba, azonban az elmúlt néhány évben tevékenységét kiterjesztette az Egyesült Államokra és európai országokra is. Célpontjai kormányzati szervek, kutatóintézetek, kriptovaluta-társaságok és magánvállalatok, fő célja pedig a kiberkémkedés és az információgyűjtés.
Észak-Koreával szimpatizáló hackercsoport, elsőként 2017-ben számoltak be róla az elemzők. Elsősorban orosz és dél-koreai politikai intézményeket támad. Gyakran spearphishing támadásokat alkalmaz a kezdeti hozzáférés megszerzéséhez, és egyedi távoli felügyeleti eszközre (RAT) támaszkodik az áldozat gépéhez történő folyamatos hozzáférés biztosítása érdekében. Noha egyes biztonsági kutatók a csoportot a ScarCruft (APT37), a Lazarus vagy a Kimsuky égisze alá sorolják, az ESET nem tudja megerősíteni ezeket az állításokat.
HIDDEN COBRA néven is ismert, Észak-Koreához kapcsolódó APT-csoport. Legalább 2009 óta aktív. Olyan nagy horderejű eseményekért felelős, mint a Sony Pictures Entertainment hackelése és a 2016-ban több tízmillió dollár kárt okozó kiberrablások, a 2017-es WannaCryptor (más néven WannaCry) járvány, valamint legalább 2011 óta a dél-koreai köz- és kritikus infrastruktúra ellen elkövetett gyakori zavaró támadások. A csoportot a kampányok megvalósításának sokszínűsége, száma és excentricitása jellemzi, valamint az, hogy a kiberbűnözői tevékenységek mindhárom pillérében részt vesz: kiberkémkedésben, kiberszabotázsban és anyagi haszonszerzésben is.
Az ESET által adott név, a csoportnak tulajdonított támadássorozatra utal. Ezek a támadások legalább 2019 óta folynak, és célpontjuk az űrkutatási, katonai és védelmi vállalatok. A támadások azért is figyelemre méltóak, mert LinkedIn-alapú spearphishinget és más hatékony trükköket alkalmaznak, hogy ne keltsenek feltűnést. Ahogy az In(ter)ception név is sugallja, fő célja valószínűleg a vállalati kémkedés.
APT37 vagy Reaper néven is ismert, észak-koreai csoport, amely valószínűleg kémkedéssel foglalkozik. Legalább 2012 óta működik. Elsősorban Dél-Koreára koncentrál, de más ázsiai országokat is célba szokott venni. A csoport főként kormányzati és katonai szervezetek, valamint az észak-koreai érdekekkel kapcsolatos különböző iparágakban működő vállalatok iránt érdeklődik. Eszköztára kémkedéshez használt letöltőprogramok, adateltérítő eszközök és hátsó ajtók széles skáláját tartalmazza.
Iránhoz köthető, feltételezett kiberszabotázs csoport, 2020 óta aktív. Izraelben és az Egyesült Arab Emírségekben található áldozatokat vesz célba. A csoport kezdetben ransomware-nek álcázott wiper programot használt, de később teljes értékű ransomware-ré alakította át. Az internethez kapcsolódó alkalmazások ismert sebezhetőségeit kihasználva webshell-eket telepít, majd belső felderítést végez, mielőtt oldalirányban továbbhaladna.
Korábban APT35 és APT42 néven volt ismert (más néven Charming Kitten, TA453 vagy PHOSPHORUS). Valószínűleg iráni állami szereplő, amely oktatási, kormányzati és egészségügyi szervezeteket, valamint emberi jogi aktivistákat és újságírókat vesz célba. Izraelben, a Közel-Keleten és az Egyesült Államokban a legaktívább. A világjárvány idején a COVID-19-hez kapcsolódó szervezeteket, köztük a WHO-t és a Gilead Pharmaceuticals gyógyszergyárat, valamint orvosi kutatókat vett célba.
Iránhoz köthető kiberkémkedéssel foglalkozó csoport, legalább 2017 óta aktív. Először 2023-ban fedezték fel, amikor egy backdoort alkalmazó támadással kurd diplomáciai tisztviselőket vett célba. 2024-ben továbbra is kurd tisztviselőket, iraki kormánytisztviselőket és egy üzbég regionális távközlési szolgáltatót vett célba. Nagy bizonyossággal megállapítható, hogy a csoport az OilRig – más néven APT34 vagy Hazel Sandstorm (korábban EUROPIUM) – alcsoportja, amelynek jellemzői megegyeznek a BladeHawk és a FreshFeline jellemzőivel.
Izraeli szervezeteket célzó kibertámadásairól ismert hackercsoport, amely feltehetően Törökországban működik, de az iráni kormány céljaival összhangban álló támadásokat hajt végre. Kapcsolatban van a Frankenstein csoporttal, amely történelmileg a palesztin területek érdekeit támogatta, és szintén összhangban áll Irán érdekeivel. A csoport hack-and-leak műveletekben, adatvédelmi incidensekben és adatmegsemmisítésben vett részt.
Az APT-C-50 csoport által végrehajtott kampány. A kampányban a csoport 2016 óta végez mobil megfigyelési műveleteket iráni állampolgárok ellen, amint arról a Check Point 2018-ban beszámolt. 2019-ben a Trend Micro azonosított egy, általuk Bouncing Golf névre keresztelt rosszindulatú kampányt, amely a Közel-Keletet célozta meg és valószínűleg kapcsolódik a Domestic Kittenhez. Röviddel ezután, ugyanebben az évben, a Qianxin ismét egy Iránra irányuló Domestic Kitten kampányról számolt be. 2020-ban a 360 Core Security nyilvánosságra hozta a Domestic Kitten által a közel-keleti kormányellenes csoportok ellen végzett megfigyelési tevékenységeket. A legutóbbi nyilvánosan elérhető jelentés 2021-ből származik, a Check Pointtól.
Más néven MosesStaff, egy iránbeli kiberkémcsoport, amely Izrael, Olaszország, India, Németország, Chile, Törökország, az Egyesült Arab Emírségek és az Egyesült Államok különböző vertikális piacaira irányuló támadásokat hajt végre. Legalább 2021 óta aktív, amikor is - egy korábban ismeretlen - hátsó ajtót telepített két izraeli vállalat eszközeire. 2021-ben ransomware-t is telepített izraeli áldozatok gépeire. A csoport elsődlegesen az internethez kapcsolódó, nem patchelt, ismert sebezhetőségekkel rendelkező Microsoft Exchange szervereket célozza meg, majd oldalirányú mozgással és saját, egyedi hátsó ajtó telepítésével folytatja tevékenységét.
C5, Smoke Sandstorm, TA455 vagy UNC1549 néven is ismert, az iráni kormány érdekeit szolgáló kiberkémkedési csoport. Legalább 2022 óta aktív. A csoport célpontjai a Közel-Keleten (többek között Izrael, Omán és Szaúd-Arábia) és az Egyesült Államokban működő, az űrhajózási, repülési és védelmi ágazatban tevékenykedő szervezetek. Módszerei átfedésben vannak a Tortoiseshell csoportéval, amely az iráni Iszlám Forradalmi Gárda (IRGC) Elektronikus Hadviselés és Kibervédelem (EWCD) szervezetéhez kapcsolódik, valamint az APT33-mal, amely szintén az IRGC-EWCD-hez kapcsolódik. A csoport tipikus módszerei közé tartozik a typosquatting domaineket használó spearphishing, a jelszószórás, valamint egyedi hátsó ajtók fejlesztése és telepítése.
HEXANE vagy Storm-0133 néven is ismert hackercsoport az OilRig alcsoportja, legalább 2017 óta aktív. A csoport a Közel-Kelet szervezeteit célozza meg, különös tekintettel az izraeli szervezetekre, beleértve a nemzeti és helyi kormányzati szerveket és az egészségügyi szervezeteket. A csoport főbb eszközei között szerepelnek különböző hátsóajtók és egy sor letöltőprogram, amelyek legitim felhőszolgáltatásokat használnak a C&C kommunikációhoz.
Az Iráni Hírszerzési és Biztonsági Minisztériumhoz (MOIS) kapcsolódó kiberkémkedési csoport. Legalább 2017 óta aktív. A csoport célpontjai a Közel-Keleten és Észak-Amerikában találhatók, elsősorban a távközlési, kormányzati szervezetek, valamint az olaj- és energiaiparban. Tagjai gyakran használnak szkriptalapú hátsó ajtókat, mint például a powershell. Elsődleges hozzáférési módszerük a mellékletekkel ellátott spearphishing e-mailek – gyakran PDF-ek, amelyek linkeket tartalmaznak olyan tárhelyekre, mint az Egnyte és a OneHub.
APT34 vagy Hazel Sandstorm (korábban EUROPIUM) néven is ismert. Általánosan úgy vélik, hogy ez a kiberkémkedő csoport Iránban működik, legalább 2014 óta aktív. A csoport célpontjai a közel-keleti kormányok és különböző üzleti szektorok, beleértve a vegyipari, energetikai, pénzügyi és távközlési iparágakat. Jelentősebb kampányai közé tartozik a 2018-as és 2019-es DNSpionage kampány - amely libanoni és egyesült arab emírségekbeli áldozatokat vett célba -, a 2019–2020-as HardPass kampány - amely a LinkedIn segítségével közel-keleti áldozatokat támadott az energia- és kormányzati szektorban - , a 2020-as támadás egy közel-keleti távközlési szervezet ellen, valamint a 2023-as támadások, amelyek szintén közel-keleti szervezeteket vettek célba. Ezen események mellett az ESET más, az OilRig Lyceum, ShroudedSnooper és BladedFeline nevű alcsoportjaihoz kapcsolódó tevékenységeket is nyomon követ.
Más néven Scarred Manticore vagy Storm-0861. Az OilRig egyik alcsoportja, amely legalább 2019 óta aktív. Először a Microsoft azonosította az albán kormány ellen 2021-2022-ben végrehajtott pusztító támadások során, miután nyilvános alkalmazások kihasználásával biztosította a hálózathoz való kezdeti hozzáférést más OilRig alcsoportok számára. 2023-ban a csoport támadásokat hajtott végre kormányzati, katonai szervezetek és távközlési vállalatok ellen a Közel-Keleten.
Crimson Sandstorm, Imperial Kitten, TA456 vagy Yellow Liderc néven is ismert. Kiberkémkedéssel foglalkozó csoport, legalább 2019 óta aktív. A csoport social engineering és adathalász e-maileket használ a megtámadott eszközökhöz való kezdeti hozzáféréshez, és nagymértékben támaszkodik a Microsoft Office makrókra, amelyeket a rendszer és a hálózat felderítésére használnak. Célpontjai általában az Egyesült Államok, Európa és a Közel-Kelet tengeri, szállítási és logisztikai vertikális piacai.
Kiberkémkedéssel foglalkozó csoport, amely a Közel-Keleten az olaj-, gáz- és ipari szektorban működő áldozatokat célozza meg. Legalább 2019 óta aktív, ekkor fedezték fel az első, a nevükhöz kötthető hátsóajtót. 2021-ben megfigyelték, hogy a csoport további hackereszközöket vetett be.
APT-C-35 vagy SectorE02 néven is ismert, legalább 2016 óta működő, Indiához köthető csoport. Az Amnesty International 2021-es jelentése a csoport rosszindulatú szoftvereit egy indiai kiberbiztonsági céggel hozza összefüggésbe, amely valószínűleg kémprogramokat értékesít vagy hackerek bérbeadását kínálja a régió kormányainak. A csoport Windows és Android rendszereken futtatható rosszindulatú programokat használva dél-ázsiai szervezeteket támad meg, áldozatainak többsége Pakisztánban, Bangladesben, Srí Lankán, Nepálban és Kínában található. Kampányai kémkedésre összpontosítanak, saját fejlesztésű rosszindulatú programkeretrendszerét használva, amelynek fő célja adatok gyűjtése és kiszivárogtatása.
Az ESET által használt név egy APT15 alcsoport, amely elsősorban afrikai és közel-keleti kormányzati szervezeteket és távközlési vállalatokat támad. Legalább 2017 óta aktív. 2022-ben a Bitdefender dokumentálta a csoport közel-keleti távközlési ipar ellen irányuló tevékenységeit. 2023-ban a Unit 42 megosztotta elemzését a csoport iráni kormányzati hálózatok elleni támadásairól. 2021-ben az ESET bizonyította a csoport és a Kaspersky által CloudComputating néven nyomon követett, legalább 2012 óta aktív csoport közötti kapcsolatokat. Az ESET több más APT15 alcsoporttal, például a Mirage, a Ke3chang és a DigitalRecyclers csoporttal is több kapcsolatot észlelt.
Kínához kötődő APT-csoport, amely kínai és japán magánszemélyek és vállalatok ellen folytat kiberkémkedési tevékenységet. Legalább 2018 óta aktív. 2020-ban az ESET kutatói fedezték fel a csoportot, miután gyanús fájlokat észleltek egy kínai rendszeren. A csoport tagjai képesek adversary-in-the-middle (közbeékelődéses) támadásokat végrehajtani, ami lehetővé teszi számukra, hogy fertőző kódjaikat legitim szoftverek frissítésein keresztül juttassák el célpontjaikhoz és a fertőző kódjaik által által generált forgalom elfogásával elrejtsék C&C szervereik helyét.
Más néven Volt Typhoon vagy Vanguard Panda. Kínához kötődő kiberkémcsoport, legalább 2022 óta aktív. Főként az amerikai védelmi ipart és kritikus szervezeteket veszi célba. Először 2023-ban kapott nyilvánosságot, miután lebukott, hogy támadást indított Guam kritikus infrastruktúrája ellen, amely az Egyesült Államok nyugat-csendes-óceáni szigete, és több amerikai katonai bázisnak ad otthont.
Kínához kötődő kiberkémcsoport, amely legalább 2022 eleje óta aktív. Fő célpontjai a délkelet-ázsiai kormányzati szervek. A csoport az általa készített moduljairól, a TONEINS-ről, a TONESHELL-ről és a PUBLOAD-ról, a nyilvánosan elérhető eszközök használatáról, valamint a felhő- és fájlmegosztó szolgáltatásokat kihasználó adatszivárogtatási technikáiról ismert. Néhány tevékenységét a Mustang Panda (más néven Earth Preta vagy Stately Taurus) csoporthoz kötik. Az ESET azonban ezeket a tevékenységeket egy különálló csoportnak tulajdonítja.
A csoport tevékenysége először 2024-ben került nyilvánosságra, azonban az ESET telemetriai adatai szerint a csoport 2022 elején is tevékenykedett már. A csoport kiberkémkedési műveleteket hajt végre orosz kormányzati szervezetek és a technológiai szektor, valamint amerikai tanácsadói testületek ellen. Műveleteit mellékletet tartalmazó spearphishing e-mailek jellemzik. A csoport a trident side-loading technikát használja a fő backdoorok célba juttatására, majd később a Yandex, OneDrive vagy Dropbox felhőszolgáltatásokat kezdte használni a parancsok fogadására.
Az ESET által felfedezett hackercsoport legalább 2018 óta aktív, általában kémkedési műveleteket hajt végre európai kormányzati szervezetek ellen. Feltételezhető, hogy a csoport kapcsolatban áll a Ke3chang és a BackdoorDiplomacy csoportokkal.
BRONZE HIGHLAND, Daggerfly és StormBamboo néven is ismert, Kínához kötődő APT-csoport, legalább 2012 óta aktív. Célja a Kína érdekeivel ellentétes országok és szervezetek ellen irányuló kiberkémkedés, például a tibeti diaszpóra, a tajvani és hongkongi vallási és tudományos intézmények, valamint a kínai demokrácia támogatói ellen. Az ESET megfigyelte, hogy tevékenységük olyan országokra is kiterjed, mint Vietnam, Mianmar és Dél-Korea. A csoport lenyűgöző listát állított össze a támadási módszerekről, mint például a szállítási lánc és a watering hole támadások, valamint a DNS-eltérítés. Emellett erős képességeket mutat a rosszindulatú szoftverek fejlesztésében is, ami Windows, macOS és Android platformokra készült, kiterjedt többplatformos backdoor-gyűjteménye is bizonyít.
Kínával szimpatizáló kiberkémcsoport, feltehetően legalább 2019 óta aktív. A csoport kezdetben szállodákat támadott világszerte, de később kormányokat, nemzetközi szervezeteket, kereskedelmi csoportokat, mérnökirodákat és ügyvédi irodákat is célba vett. Az egyetlen ismert felhasználója a SparrowDoor backdoornak. A csoport kapcsolatban áll az Earth Estries csoporttal, de a kapcsolat pontos jellege nem teljesen ismert. Nyilvánosan kapcsolatba hozták a Salt Typhoon csoporttal is, de mivel nincsenek technikai indikátorok, az ESET külön entitásként követi nyomon őket.
Más néven Earth Lusca, TAG-22, Aquatic Panda vagy Red Dev 10. Kiberkémkedéssel foglalkozó csoport, amelyet feltehetően a kínai I-SOON vállalkozás működtet, és amely a Winnti Group égisze alá tartozik. Az ESET 2020 elején tett közzé egy elemzést a csoportról, amikor az a hongkongi polgári tüntetések idején erőteljesen támadta a hongkongi egyetemeket. A jelentésben részletezésre került az Ázsiában, Európában és az Egyesült Államokban működő kormányokat, nem kormányzati szervezeteket és tanácsadói testületeket célzó globális kampány. A csoportról ismert, hogy watering-hole támadásokat is végrehajt.
Az ETHEREAL PANDA néven is ismert, Kínához kötődő APT-csoport, legalább 2021 óta aktív. Főként tajvani szervezeteket támad. A csoport a China Chopper webshellt, a Juicy Potato jogosultság-növelő alkalmazást és annak változatait, valamint a Mimikatzot használja. A felderítés elkerülése érdekében széles körben alkalmazza a living-off-the-land bináris fájlokat (LOLBins).
Kínához kötődő APT-csoport. Az ESET kutatói ezt a nevet adták neki, mert a csoport régóta (legalább 2022 óta) hamis betűtípus-fájlokat használ a C:\Windows\Fonts könyvtárban, mint rejtett veszélyes payload-ot egy adott loader-készlethez. Főként kirgizisztáni, üzbég, kazah és pakisztáni kormányzati szerveket vesz célba.
Kínához kötődő APT-csoport, amely Kelet-Európa és Közép-Ázsia különböző szektoraiban tevékenykedik. A csoport a Zmm hátsóajtót és a Trochilus RAT-ot használja. A Zmm backdoort a StartupNation csoport alkotta meg, amely a SixLittleMonkeys APT-csoport által használt Mikroceen RAT-ot is fejleszti.
Soft Cell, Alloy Taurus, Red Moros vagy Othorene néven is ismert. Kínával szimpatizáló APT-csoport, amely világszerte távközlési szolgáltatókat és kormányzati szervezeteket vesz célba. A felsőoktatási szektor elleni támadásairól is ismert. Eszköztára egy egyedi C++ backdoort, egy China Chopper alapú IIS webshellt, különböző Mimikatz alapú hitelesítő adatok ellopására szolgáló alkalmazást és különböző más, használatra kész alkalmazást is tartalmaz.
CKínával szimpatizáló kiberkémkedő csoport. Legalább 2014 óta aktív. Abban az évben a G DATA mélyreható jelentést tett közzé az Operation TooHash nevű kampányról, amelynek áldozatai a kampányban használt dokumentumok alapján úgy tűnt, hogy Kelet-Ázsiában tevékenykedtek. A támadók spearphishinget alkalmaztak mellékletekkel, kihasználva a Microsoft Office akkori régi sebezhetőségét, valamint három komponenst, amelyek közül kettőt ellopott tanúsítvánnyal láttak el. 2016-ban a Verint Systems a HITCON-on tartott előadást, ahol a két évvel korábban említett TooHash-művelet új tevékenységéről beszéltek, amely továbbra is ugyanazt a Microsoft Office elleni sebezhetőséget használta ki.
Legalább 2023 óta aktív, Kínával szimpatizáló kiberkémcsoport, amely backdoorok fejlesztésére összpontosít, és legitim szolgáltatásokat, például a Discordot, a Slacket és a file.io-t használja C&C kommunikációra és adateltérítésre. A 2025-ös ESET telemetriai adatok azt mutatják, hogy a csoport mongóliai kormányzati intézményeket vett célba.
Kínával szimpatizáló kiberkémcsoport, amely legalább 2009 óta aktív. Nevét a kódjában található Google-hivatkozások bőséges használatáról kapta, és drive-by támadások alkalmazásáról ismert. A csoport fegyvertárában Windows, OS X és Android rendszerekhez készült rosszindulatú programok találhatók. Első alkalommal 2014-ben dokumentálták, amikor egy OS X backdoort használt, hogy világszerte elektronikai és mérnöki cégeket, valamint Ázsiában érdekelt nem kormányzati szervezeteket támadjon meg. 2020-ban a Lookout négy Android-backdoort fedezett fel, amelyeket ujgurok, tibetiek és muszlimok ellen használtak világszerte, és amelyeket a csoportnak tulajdonítottak a hasonló hálózati infrastruktúra alapján. Bár több forrás is azt állítja, hogy a csoport az APT15-höz kapcsolódik, az ESET kutatói nem rendelkeznek elegendő bizonyítékkal ennek alátámasztására, ezért továbbra is külön csoportként követik nyomon.
Ke3chang (kiejtése: ke-tri-chang) az ESET által használt név az APT15 egyik alcsoportjára, amely elsősorban európai és latin-amerikai kormányzati szervezeteket és diplomáciai képviseleteket támad meg. A név a Mandiant 2013-as jelentéséből származik, amely az Operation Ke3chang nevű műveletről szól, ezért az ESET ezt a nevet használja az APT15 2016 és 2021 között különböző szervezetek által jelentett tevékenységeire. A csoport tevékenységét az jellemzi, hogy csak egyszerű, korlátozott képességű, első fázisú hátsó backdoorokat telepít, majd emberi operátorokra támaszkodik a további parancsok manuális végrehajtásához, kihasználva a beépített és nyilvánosan elérhető felderítő segédprogramokat.
Más néven SuperJumper. Operatív átviteli (ORB) hálózat (titkosított átjátszóhálózat), amely virtuális magánszervereken (VPS) fut világszerte. Legalább 2023 óta aktív. Több Kínához kötődő hackercsoport, köztük a DigitalRecyclers és a BackdoorDiplomacy, használja ezt a titkos hálózatot a hálózati forgalmuk anonimizálására és valódi pozíciójuk elrejtésére.
Kínával szimpatizáló APT-csoport, amelyet az ESET fedezett fel 2024-ben. Célja a malajziai kormányzati szervek kiberkémkedés céljából történő megfigyelése. A csoport egyedi rosszindulatú szoftvereket használ az áldozatok böngészőelőzményeinek összegyűjtésére és annak eldöntésére, hogy hol telepítsen egy backdoort, amely a Microsoft OneDrive felhőszolgáltatást használja. Ezenkívül az Active Directory csoportházirendjét veszi igénybe a rosszindulatú szoftverek telepítésére és a laterális mozgás végrehajtására. A fájlútvonalak és a SoftEther VPN használata alapján kis átfedés van a ToddyCat APT csoporttal. Az eszközkészletek azonban összességében eltérőek.
Lotus Panda és Billbug néven is ismert, Kínával szimpatizáló APT-csoport, amely délkelet-ázsiai kormányzati és hajózási szervezeteket vesz célba. Először 2015-ben fedezték fel. Az Elsentric backdoort és különböző kiegészítő szoftvereket, például az Impacket és a Venom proxyt használja.
APT27 vagy Emissary Panda néven is ismert, kiberkémkedéssel foglalkozó csoport, amely főként kormányokat, távközlési vállalatokat és nemzetközi szervezeteket vesz célba. Közép-Ázsiában, a Közel-Keleten, Mongóliában, Hongkongban és Észak-Amerikában aktív. A csoport egyik jellegzetes technikája a DLL side-loading használata a backdoorok betöltéséhez.
Earth Kasha néven is ismert, legalább 2019 óta aktív. Kínához kötődő fenyegetés, amely elsősorban japán vállalatokat és szervezeteket, valamint Japánhoz kapcsolódó más országbeli szervezeteket vesz célba. Az ESET az APT10 égisze alatt működő alcsoportnak tekinti. A csoportról úgy tudni, hogy médiaszereplőket, védelmi vállalatokat, tanácsadói testületeket, diplomáciai szervezeteket, pénzintézeteket, tudományos intézményeket és gyártókat vesz célba. Kémkedésre és bizonyos állományok kiszivárogtatására összpontosít.
Más néven TA416, RedDelta, PKPLUG, Earth Preta vagy Stately Taurus. Kiberkémkedéssel foglalkozó csoport, amelynek székhelye feltehetően Kínában található. Főként kormányzati szerveket és NGO-kat vesz célba. Bár a 2020-as, a Vatikánt célzó kampányáról ismert, áldozatai többnyire Kelet- és Délkelet-Ázsiában találhatók, elsősorban Mongóliában. Kampányai során a csoport gyakran használ egyedi loadereket a megosztott erőforrások segítségével terjedő rosszindulatú programjaihoz.
APT31 néven is ismert. Kínához kötődő kiberkémkedéssel foglalkozó csoport, amely főként európai kormányzati szerveket vesz célba. Egyedi beépülő fertőzéseket használ, amelyek többféle módon is bevethetők, például DLL side-loading lánc és BYOVS (bring-your-own-vulnerable-software) lánc formájában. Érdemes megjegyezni, hogy a csoport szélesebb körű egyedi eszközökkel rendelkezik, amelyek közül néhányat még nem láttunk a gyakorlatban.
Kínához kötődő hackercsoport, amely legalább 2018 óta aktív. Kémkedési műveleteket folytat személyek és szervezetek ellen Kínában, Tajvanon, Hongkongban, Dél-Koreában, az Egyesült Államokban és Új-Zélandon. Egyedi backdoort használ, és fő kezdeti hozzáférési technikája az, hogy egy hálózati fertőzéssel a forgalmat a támadó által ellenőrzött szerverekre irányítja, és így eltéríti a legitim frissítéseket. Ezenkívül a csoport webkiszolgálók sebezhetőségein keresztül szerez hozzáféréseket, amellyel 2023-ban ellátási lánc-támadást hajtott végre.
Legalább 2014 óta aktív APT-csoport. Célpontjai a közép-ázsiai, indiai és pakisztáni kormányzati, védelmi és távközlési szektorok. Feltehetően a Népi Felszabadítási Hadsereg (PLA) 69010-es egységének része. Az egyik olyan csoport, amely hozzáfér a ShadowPad backdoorhoz.
Kínához kötődő APT-csoport, legalább 2008 óta aktív. Kínában kiberkémkedési és megfigyelési műveleteket hajt végre, célpontjai között hazai és külföldi magánszemélyek, vállalatok, oktatási intézmények és kormányzati szervek szerepelnek. A csoport tevékenységei a LuoYu APT (más néven CASCADE PANDA) műveleteinek egy részét képezik. A kínai internet gerinchálózatához való hozzáférés révén ellenséges közbenső szereplőként működik, hogy eltérítse a szoftverfrissítéseket és implantátumait Windows és Android rendszerekre telepítse.
Kelet- és Délkelet-Ázsia szervezeteit célzó APT-csoport, legalább 2020 óta aktív. Az ESET úgy véli, hogy székhelye Kínában van. A csoport jellegzetes eszköze egy moduláris rosszindulatú program, amelyet elsősorban a rejtett távoli hozzáférés biztosítására terveztek.
Egy APT-csoport, amelynek technikái és eljárásai (TTP) részben átfedésben vannak az APT41 (más néven BARIUM) csoporttal. Elsősorban Kelet- és Délkelet-Ázsiában működik, de világszerte számos szektorban működő szervezeteket is megcéloz, különös tekintettel a felsőoktatási szférára. Ez az egyik olyan csoport, amely hozzáfér a ShadowPad backdoorhoz.
IndigoZebra vagy SMAC néven is ismert, legalább 2013 óta aktív Kinához köthető APT csoport, amely egyes közép-ázsiai országok, konkrétan Afganisztán, Üzbegisztán és Kirgizisztán politikai szervezetei ellen elkövetett támadásokért felelős. Az ESET kutatói megfigyelték támadásait Egyenlítői-Guineában, Oroszországban, Tádzsikisztánban és Izraelben is.
Egy csoport, amely rosszindulatú szoftvereket fejleszt és tart karban több Kínával szimpatizáló APT-csoport számára. Legalább 2016 óta aktív. Az ESET úgy véli, hogy a csoport szoftvereit a SixLittleMonkeys, FourFunkyGorillas, Webworm, Worok, TA428 és TA410 néven nyomon követett, Kínával szimpatizáló APT-csoportoknak szállítja. Ez a csoport fejlesztette többek közt a HDMan eszközkészletet, a Mikroceen RAT-ot (más néven BYEBY), a Zmm és a BeRAT backdoorokat.
Kínával szimpatizáló kémcsoport, amely a Kínai Népköztársaság Belső-Mongólia Autonóm Régiójából működik. Az ESET 2024-ben fedezte fel a csoportot, amikor az egy franciaországi autókereskedést vett célba. Mongóliai kormányzati szerveket és egy dél-amerikai ügyvédi irodát is megtámadott. Számos eszközt használ, amelyek többségét a Kínával szimpatizáló csoportok is használják. A csoport a StartupNation ügyfele is.
Egy kiberkémkedéssel foglalkozó ernyőszervezet, amely leginkább arról ismert, hogy amerikai közüzemi vállalatokat, közel-keleti és afrikai diplomáciai szervezeteket támad meg. Legalább 2018 óta aktív, először 2019-ben azonosították. Három alcsoportból áll, amelyeknek az ESET a JollyFrog, a LookingFrog és FlowingFrog nevet adta. A 2020-ban felfedezett és nagyon komplex FlowCloud kártevőcsalád is a TA410-hez köthető.
A ThunderCats néven is ismert APT csoport, legalább 2014 óta aktív. Kelet-ázsiai kormányokat vesz célba, különös tekintettel Mongóliára és Oroszországra. Az ESET úgy véli, hogy a Kínai Népköztársaság fővárosából, Pekingből működik. A csoport egyedi backdoorokat és megosztott erőforrások segítségével terjedő rosszindulatú programokat használ. Ez az egyik olyan csoport, amely hozzáfér a ShadowPad backdoorhoz.
Kínához kötődő APT-csoport, amely legalább 2021 óta aktív. Kiberkémkedési műveleteket folytat személyek, szerencsejáték társaságok és ismeretlen szervezetek ellen a Fülöp-szigeteken, az Egyesült Arab Emírségekben és Kínában. Az ESET kutatói akkor fedezték fel ezt a csoportot, amikor egy népszerű kínai alkalmazás, a Sogou Pinyin, rosszindulatú frissítést töltött le. A csoport képes közbenső támadások végrehajtására, ami lehetővé teszi számára a forgalom átirányítását és egyedi rosszindulatú programjainak frissítések útján történő terjesztését.
BRONZE BUTLER vagy REDBALDKNIGHT néven is ismert APT-csoport, amely legalább 2006 óta aktív. Főként az APAC régió országait veszi célba, titkos információk és szellemi tulajdon ellopásával kapcsolatos kiberkémkedési műveletei miatt váltak ismerté.
Kínához köthető csoport, amely egyedi moduláris rosszindulatú szoftvereket használ, amelyeket az ESET GrapHop néven nevezett el.
Ez a 2023 óta működő, Kínával szimpatizáló hackercsoport kiberkémkedést folytat a Közel-Keleten. A csoport a StartupNation ügyfele is és átfedésben van a Space Pirates-szel és a Zardoor backdoort használó csoporttal.
A WEBSIIC, más néven ToddyCat csoportot az ESET kutatói fedezték fel 2021-ben a Microsoft Exchange szerverek ellen indított, a ProxyLogon sebezhetőséget kihasználó támadások vizsgálata során. Ez alapján valószínűleg egy Kínával szimpatizáló APT-csoportról van szó. A Kaspersky szerint a csoport legalább 2020 óta aktív, korábbi célpontjai között szerepelnek nepáli, vietnami, japán, bangladesi és ukrán szervezetek is. A csoport támadásai általában egyedi, saját fejlesztésű rosszindulatú programok és nyilvánosan elérhető hackereszközök kombinált felhasználásával történnek.
A Symantec által 2022-ben először jelentett kiberkémkedési csoport kapcsolatban áll más kínai orientációjú APT-csoportokkal, mint például a SixMonkeys és a FishMonger. A csoport jól ismert kártevőprogram-családokat használ. A StartupNation ügyfele is.
Legalább 2012 óta aktív. Ismert, hogy székhelye a kínai Szecsuán tartományban, Csengtu városában található. Felelős a videojáték- és szoftveripar ellen elkövetett, nagy visszhangot kiváltó ellátási lánc-támadásokért. Ezek a támadások több trójai szoftver terjesztéséhez vezettek, melyeket aztán további áldozatok megfertőzésére használtak fel. A csoport arról is ismert, hogy különböző szektorokban, például az egészségügyben és az oktatásban is megfertőzött több célpontot.
Kínához kötődő kiberkémkedési csoport, amely legalább 2020 óta aktív. Az ESET úgy véli, hogy Pekingből működtetik, elsősorban mongóliai célpontokra koncentrál, de kirgizisztáni, vietnami, török, indonéz és namíbiai szervezeteket is megcélzott már. Célpontjai között kormányzati és más közszférában működő szervezetek, valamint magánvállalatok is szerepelnek. A csoport saját fejlesztésű és nyilvánosan elérhető eszközöket használ. További eszközökkel is rendelkezik, amelyek más Kínával szimpatizáló csoportokkal, különösen a TA428-cal közösek. Érdemes még megjegyezni a csoportról, hogy hozzáférése van a ShadowPad backdoorhoz, és a StartupNation csoport ügyfele.
YoroTrooper néven is ismert, kiberkémkedéssel foglalkozó csoport, legalább 2021 óta aktív. A csoport spearphishingre és webmail-hitelesítő adatok ellopására specializálódott. Célpontjai a Kaszpi-tenger partján fekvő országok kormányzati tisztviselői, tanácsadói csoportjai és állami vállalatok alkalmazottai (különösen az Orosz Föderációt területén). A szűk célcsoportra való tekintettel a csoport valószínűleg egy közép-ázsiai országból működik. Az áldozatok és egyéb technikai mutatók alapján az ESET kis valószínűséggel, de úgy értékeli, hogy a csoport Kazahsztán érdekeit szolgálhatja.
ESET THREAT REPORT 2025. II. FÉLÉV
Részletes áttekintés a globális fenyegetési trendekről, a regionális APT-tevékenységekről és a rosszindulatú programok fejlesztéseiről, az ESET telemetriai adatai alapján.
APT-tevékenységek összefoglalója
Betekintés a legfrissebb, világszerte aktív APT-kampányokba.
WeLiveSecurity: Legfontosabb hírek és kutatások
Az ESET kutatóinak szakértői elemzései és kommentárjai a legújabb kiberfenyegetésekről, felfedezésekről és biztonsági trendekről.
ESET Research Podcast: A globális fenyegetések feltérképezése
Csatlakozzon elemzőinkhez, akik műsoraik során megvitatják az ok-okozati összefüggéseket, a felhasznált támadó eszközöket és a globális tevékenységek változásait.
Áttekintés
Ismerje meg termékünket a részletes leírások segítségével és a legfontosabb funkciók bemutatásával.
LÉPJEN VELÜNK KAPCSOLATBA
Szeretne többet megtudni? Adja meg elérhetőségét, hogy további információkkal láthassuk el Önt.
Bemutatjuk Önnek a termékünket, így láthatja azt valós működés közben és válaszolunk minden kérdésére.