DarkSword: iOS-Exploit-Kit von Staatshackern und Spyware-Anbietern aktiv genutzt

Die Kette ermöglicht die vollständige Kompromittierung von iOS-Geräten und wurde gegen Ziele in Saudi-Arabien, der Türkei, Malaysia und der Ukraine eingesetzt. Alle betroffenen Schwachstellen sind inzwischen gepatcht.

https://www.all-about-security.de/darksword-ios-exploit-kit-von-staatshackern-und-spyware-anbietern-aktiv-genutzt/

#ios #spyware #gtig

Szpiegostwo na globalną skalę. Google rozbija chińską siatkę, która wykradała dane z polskich telekomów

Zespoły Google Threat Intelligence Group (GTIG) oraz Mandiant zneutralizowały potężną infrastrukturę szpiegowską grupy UNC2814, powiązanej z Chinami.

Hakerzy od lat atakowali sektor telekomunikacyjny i administrację publiczną w ponad 40 krajach, w tym w Polsce. Do wyciągania wrażliwych danych, takich jak treści SMS-ów czy numery PESEL, cyberprzestępcy wykorzystywali m.in… legalne Arkusze Google.

Wyniki najnowszego śledztwa analityków bezpieczeństwa rzucają światło na jedną z najbardziej rozległych kampanii szpiegowskich ostatnich lat. Grupa oznaczona kodem UNC2814, działająca aktywnie co najmniej od 2017 roku, stworzyła globalną sieć inwigilacji, której głównym celem byli dostawcy usług telekomunikacyjnych oraz instytucje rządowe.

Atakując operatorów, napastnicy zyskiwali strategiczny punkt dostępu do komunikacji i danych wielu podmiotów jednocześnie. Eksperci z GTIG potwierdzili aż 53 przypadki udanych włamań w 42 państwach, identyfikując przy tym potencjalne cele w ponad 20 kolejnych krajach. Na liście poszkodowanych znalazła się również Polska.

Polska na celowniku: PESEL i billingi w rękach hakerów

Choć w naszym regionie uwaga ekspertów ds. cyberbezpieczeństwa skupia się zazwyczaj na destrukcyjnych działaniach grup powiązanych z Rosją i Białorusią, raport Google udowadnia, że polska infrastruktura krytyczna jest na celowniku również innych mocarstw.

Z ustaleń śledczych wynika, że włamania UNC2814 nie miały na celu niszczenia infrastruktury (jak ma to miejsce w przypadku rosyjskich ataków typu „wiper”), lecz cichą, długofalową inwigilację. Hakerzy przejmowali m.in. bazy danych osobowych, wykazy połączeń, a nawet treści wiadomości SMS konkretnych osób. W wielu potwierdzonych przypadkach cyberprzestępcy polowali na niezwykle wrażliwe dane obywateli, w tym numery dowodów osobistych oraz numery PESEL.

„Obawy o bezpieczeństwo w Polsce słusznie koncentrują się na działaniach grup powiązanych z Rosją. Jednak aktywność UNC2814 pokazuje, że sektor telekomunikacyjny – fundament polskiej łączności i cyfrowej gospodarki – jest celem uporczywych działań o globalnym zasięgu. Grupy powiązane z Chinami stawiają na długofalowe działania, zaprojektowane tak, by przez lata pozostać w ukryciu i po cichu wykradać dane” – tłumaczy Jamie Collier, główny doradca na Europę w Google Threat Intelligence Group.

GRIDTIDE, czyli jak zhakować przez Arkusze Google

Kluczowym momentem w rozpracowaniu grupy było odkrycie pod koniec 2025 roku przez zespół Mandiant nowego narzędzia typu backdoor, nazwanego „GRIDTIDE”. Złośliwe oprogramowanie, napisane w języku C, służyło do utrzymywania stałego dostępu do zainfekowanych systemów.

Sposób działania GRIDTIDE idealnie obrazuje nowy, niebezpieczny trend w cyberprzestępczości – nadużywanie legalnych platform chmurowych (SaaS). Zamiast stawiać własne serwery kontroli (C2), które łatwo wykryć i zablokować, złośliwy kod łączył się z Arkuszami Google kontrolowanymi przez napastników. Dzięki temu transfer wykradanych danych idealnie wtapiał się w normalny, firmowy ruch sieciowy. Google wyraźnie zaznacza, że nie był to wynik luki w zabezpieczeniach usługi, lecz sprytne wykorzystanie jej prawidłowych, wbudowanych funkcji w celu uniknięcia detekcji przez systemy bezpieczeństwa.

Dekada budowy, natychmiastowy demontaż

Aby przeciąć operacje szpiegowskie UNC2814, Google przeprowadziło skoordynowaną akcję uderzeniową. Firma zamknęła wszystkie projekty w Google Cloud kontrolowane przez napastników, zablokowała powiązane konta oraz przejęła kontrolę nad ich domenami (technika tzw. sinkholingu), skutecznie odcinając złośliwy kod od zaatakowanych środowisk. Analitycy spodziewają się, że ruch ten zniweczy dekadę pracy hakerów nad budową ich globalnej sieci.

Wszystkie poszkodowane podmioty otrzymały już oficjalne powiadomienia, a eksperci Google aktywnie wspierają organizacje w łataniu luk. Jednocześnie GTIG podkreśla, że kampania UNC2814 to odrębna operacja i nie należy jej łączyć z głośnymi ostatnio atakami grupy „Salt Typhoon”, która również obrała sobie za cel sektor telekomunikacyjny.

Szerszy raport techniczny z operacji rozbicia infrastruktury GRIDTIDE został opublikowany na blogu Google Cloud.

Historyczny cyberatak: chińscy hakerzy użyli AI do autonomicznego włamania. Mamy raport Anthropic

GTIG is tracking a multi-year APT24 cyberespionage campaign leveraging the BADAUDIO downloader.

Notable elements:
• Control-flow flattening + DLL Search Order Hijacking
• Targeted supply chain compromises impacting 1K+ domains
• Cobalt Strike Beacon (shared watermark w/ prior APT24 ops)
• Cloud-hosted phishing + JS injection on legitimate sites
• Strategic web compromise → selective payload delivery

Full report:
https://www.technadu.com/chinese-apt24-cyberespionage-campaign-targets-taiwan-with-badaudio-malware/614191/

Follow @technadu for daily threat intelligence.

#APT24 #BADAUDIO #CyberEspionage #ChinaCyber #GTIG #SupplyChainAttack #Taiwan #CobaltStrike #Malware #ThreatIntel

Die Cybercriminals so:
"Lass uns mal was mit AI machen!"
"Jo. Und dann fragt der Shit selbstständig bei der AI nach und besorgt sich aktuellen Code."
"Aber getarnt!"

Google’s Threat Intelligence Group (GTIG):
"Gegner nutzen künstliche Intelligenz, um neue Malware‑Familien zu verbreiten, die während der Ausführung große Sprachmodelle (LLMs) integrieren.

Dieser neue Ansatz ermöglicht ein dynamisches Ändern während der Ausführung und erreicht damit ein Maß an operativer Vielseitigkeit, das mit herkömmlicher Malware praktisch unmöglich zu erreichen ist.

Google bezeichnet die Technik als „Just‑in‑Time“‑Selbstmodifikation und hebt den experimentellen PromptFlux‑Malware‑Dropper sowie den PromptSteal‑(auch bekannt als LameHug‑)Datensammler, der in der Ukraine eingesetzt wurde, als Beispiele für dynamische Skriptgenerierung, Code‑Obfuskation und die Erstellung von On‑Demand‑Funktionen hervor."

https://cloud.google.com/blog/topics/threat-intelligence/threat-actor-usage-of-ai-tools/?hl=en

#infosec #infosecnews #google #gtig #Malware #PromptFlux #PromptSteal

More than 14,000 WordPress sites hacked, used to spread malware

a new threat actor codenamed UNC5142 has been successfully hacking into WordPress sites often using flawed WordPress themes, plugins, or databases.

#WordPress #malware #GTIG #security #cybersecurity #hackers #hacking #hacked

https://mashable.com/article/wordpress-hacked-unc5142-etherhiding-blockchain-malware-spreading

Advanced threat actor UNC6148 is actively targeting SonicWall SMA 100 series appliances with sophisticated OVERSTEP backdoor malware, bypassing patches through stolen credentials.

#SecurityLand #BreachBreakdown #UNC6148 #Mandiant #GTIG #SonicWall #OVERSTEP

Read More: https://www.security.land/sonicwall-sma-100-series-targeted-by-advanced-backdoor-campaign/