Chińscy hakerzy atakują Polskę. Wykorzystują popularną aplikację

Analitycy firmy ESET poinformowali o wykryciu nowej serii cyberataków wymierzonych w europejskie organizacje rządowe. Na liście celów znalazły się instytucje zlokalizowane między innymi w Polsce, a także w Belgii, Włoszech oraz Hiszpanii. Za kampanią stoi powiązana z Chinami grupa znana pod nazwą Webworm. Według ustaleń ekspertów, przestępcy skupiają się przede wszystkim na działalności szpiegowskiej oraz kradzieży poufnych dokumentów.

Zamiast budować własne, łatwe do wykrycia przez systemy bezpieczeństwa sieci, napastnicy zdecydowali się na ukrycie swojej aktywności w legalnym ruchu sieciowym. Do sterowania złośliwym oprogramowaniem wykorzystano popularny komunikator Discord oraz biznesowe usługi firmy Microsoft, w tym dysk sieciowy OneDrive. Taka taktyka pozwoliła im przez dłuższy czas omijać standardowe procedury ochronne stosowane w urzędach.

W trakcie badań zidentyfikowano dwa wcześniej nieznane programy typu backdoor, które pozwalały na nieautoryzowany dostęp do komputerów ofiar. Pierwszy z nich, nazwany przez badaczy EchoCreep, opierał swoje działanie na Discordzie. Służył on zarówno do wysyłania raportów z zainfekowanych maszyn, jak i do odbierania kolejnych poleceń od twórców wirusa. Drugie złośliwe oprogramowanie, GraphWorm, podszywało się pod standardowy ruch usług Microsoftu. W tym przypadku do transferu wykradzionych informacji oraz pobierania instrukcji wykorzystywano infrastrukturę OneDrive.

Kluczowym momentem w śledztwie okazało się odszyfrowanie przez analityków ponad czterystu wiadomości przesyłanych za pośrednictwem Discorda. Pozwoliło to na zlokalizowanie serwera wykorzystywanego przez przestępców oraz zidentyfikowanie kilkudziesięciu zainfekowanych celów.

– Udało nam się odzyskać polecenia wykonywane z jednego z serwerów, co dało nam wgląd w potencjalne techniki używane przez tę grupę. Wykorzystywano m.in. open-source’owy skaner podatności, co pozwoliło nam także zidentyfikować niektóre z ich głównych celów – wyjaśnia Eric Howard, analityk firmy ESET.

Grupa Webworm do tej pory koncentrowała swoją aktywność głównie na obszarze Azji, jednak najnowsze ustalenia dowodzą wyraźnej zmiany kierunku działań w stronę Starego Kontynentu. Z informacji udostępnionych przez badaczy wynika również, że na przełomie lat 2025 i 2026 napastnicy sięgnęli po chmurę Amazon Web Services (AWS) do wyprowadzania pozyskanych danych.

Eksperci z ESET potwierdzili już między innymi wyciek plików z jednej z hiszpańskich instytucji rządowych. Przedstawiciele firmy zaznaczają, że struktury przestępcze wciąż pozostają aktywne, co oznacza konieczność zachowania wysokiej gotowości przez europejskie podmioty administracyjne.