Jak chińscy hakerzy starają się ingerować w politykę USA?

Kalifornijska firma Proofpoint opublikowała raport, z którego wynika, że chińscy cyberprzestępcy atakowali dziennikarzy z USA przed słynnym atakiem na Kapitol w dniu 6 stycznia 2021 roku i rosyjską inwazją na Ukrainę. Atakowani to korespondenci akredytowani przy Białym Domu oraz inni dziennikarze polityczni.

Według raportu grupa „cyberszpiegów” znana jako TA412 od początku 2021 r. przeprowadziła serię prób phishingowych wymierzonych w amerykańskich dziennikarzy. Odkrycia Proofpoint nie są pierwszym przypadkiem, w którym Chiny zostały powiązane z atakami na amerykańskie media. W 2020 roku Microsoft poinformował o działalności cyberprzestępcy Zirconium, który miał powiązania z chińskim rządem. Ataki tego hakera były wymierzone w osoby związane z kampanią prezydencką w USA, a także w think tanki zajmujące się stosunkami międzynarodowymi.

Zobacz również:

• Jak nauczyć się obcego języka? Z tymi aplikacjami spełnisz swoje postanowienia noworoczne

Hakerzy z Chin włamywali się też do sieci The New York Times, The Wall Street Journal, Washington Post i innych. Dziennikarze są często celem ataków, ponieważ mają dostęp do poufnych informacji, zanim te staną się publiczne. Praca reporterów często wymaga utrzymywania źródeł informacji w rządzie i sektorze prywatnym.

Dostęp do poczty e-mail dziennikarzy lub kont w mediach społecznościowych może być również cennym narzędziem wykraczającym poza zawarte w nich informacje.

"Przejęte konto może zostać wykorzystane w czasie wojny lub pandemii do szerzenia propagandy i dezinformacji albo służyć do kontrolowania nastrojów społecznych" – czytamy w raporcie.

Szczegóły chińskich ataków

Ataki TA412 polegały na wysyłaniu wiadomości z osadzonymi niewidocznymi obrazami, znanymi również jako sygnały nawigacyjne lub piksele śledzące, w celu uzyskania informacji o adresatach oraz ich sieciach.

Między styczniem a lutym 2021 r. Proofpoint zidentyfikował pięć kampanii TA412. Firma obserwowała również aktywność TA412 w dniach poprzedzających atak na Kapitol, skupiając się na korespondentach Białego Domu i innych reporterach z Waszyngtonu. Złośliwe wiadomości e-mail wysyłane do dziennikarzy dotyczyły tematów politycznych z najnowszych artykułów w amerykańskich gazetach.

Grupa ponownie zaktywizowała się w sierpniu 2021 r., tym razem atakując dziennikarzy zajmujących się kwestiami cyberbezpieczeństwa i inwigilacji.

"Wygląda na to, że ci, którzy byli na celowniku, dużo pisali o kwestiach prywatności w mediach społecznościowych i chińskich kampaniach dezinformacyjnych, sygnalizując zainteresowanie chińskiego państwa narracjami medialnymi, które mogą wpłynąć na negatywną globalną opinię o Chinach" – czytamy w raporcie.

Po kolejnej przerwie TA412 ponownie uruchomiło działalność 9 lutego 2022 r. — zmieniając wektor ataków i celując w osoby, które pisały o nadchodzącej rosyjskiej inwazji na Ukrainę.

Proofpoint napisał w swoim raporcie, że w tematach e-maili wysyłanych do dziennikarzy pojawiały się następujące zagadnienia:

• Ustawa mająca na celu zakazanie amerykańskiej pomocy wojskowej dla Ukrainy;
• USA ogłasza zagrożenie Rosji dla Chin;
• Macron ujawnia „gwarancje” Putina;
• Wielka Brytania uzbroi Ukrainę w rakiety przeciwokrętowe przeciwko Rosji;
• USA twierdzą, że wiedzą, jak można rozwiązać impas z Ukrainą;
• źródła w Wielkiej Brytanii twierdzą, że inwazja jest „bardzo prawdopodobna”;
• Biały Dom oświadczył, że drzwi do negocjacji z Rosją pozostają otwarte.

Proofpoint poinformował, że inna chińska zaawansowana grupa cyberprzestępców, TA459, atakowała dziennikarzy wiadomościami e-mail zawierającymi złośliwy załącznik, który infekował ich komputery złośliwym oprogramowaniem Chinoxy – umożliwiając atakującym uzyskanie dostępu do systemów ofiar za pomocą backdoora. Aktywność tych cyberprzestępców była wcześniej obserwowana przy okazji użycia tego samego złośliwego oprogramowania w Azji Południowo-Wschodniej, o czym informowali badacze z Bitdefender.

W raporcie Proofpoint opisano również inne incydenty cyberbezpieczeństwa związane z dziennikarzami z udziałem cyberprzestępców powiązanych z Turcją, Koreą Północną i Iranem.

Źródło: The Record