Bitter: индийская группировка терроризирует Китай и Пакистан в киберпространстве

В последних отчётах китайских ИБ-компаний выделены серии кибератак на критическую инфраструктуру, исходящие из Индии. Атаки были направлены, в том числе, против Китая и Пакистана.

Отмечается, что одна из таких атак на китайскую военную инфраструктуру, перехваченная китайской ИБ-компанией в декабре, была осуществлена группой хакеров из Индии. Атака обладала схожими целями и методами с предыдущими, что указывает на участие одной и той же группировки.

APT-группа, активная с ноября 2013 года, была впервые обнаружена и получила название «Bitter» американской компанией Forcepoint и «Manlinghua» китайской компанией Qihoo 360 в 2016 году. С течением времени, раскрытие деятельности Bitter позволило выявить её политические мотивы, поскольку основными целями являются Пакистан и Китай, включая государственные структуры, военные и ядерные сектора.

Аналитики в области кибербезопасности подозревают, что группа имеет корни в Индии и потенциально поддерживается государством, учитывая местоположение IP-адресов и лингвистических особенностей, наблюдаемых в атаках. Также считается, что Bitter связана с несколькими другими, предположительно индийскими, группами, среди которых Patchwork, SideWinder и Donot.

Вопреки распространённому мнению о том, что киберугрозы Китаю в основном исходят из США, профессионалы отмечают, что значительное количество атак происходит из Южно-Азиатских стран, как отметил эксперт по безопасности из Пекина, пожелавший остаться анонимным. Китай и Индия, две самые населённые страны мира, имеют сложные отношения, на фоне которых идут как граничные споры и конфликты, так и растущая двусторонняя торговля.

Bitter использует две основные стратегии атак: целевой фишинг (Spear phishing) и атаки типа Watering hole:

• Spear phishing включает отправку целевым лицам заражённых документов или ссылок по электронной почте, которые при открытии загружают троянские программы для кражи данных и дальнейших инструкций от атакующих;
• Watering hole заключаются в компрометации легитимных веб-сайтов для размещения вредоносных файлов или создании фальшивых веб-сайтов для ловушек жертв, обычно с использованием интересующего их контента.

Согласно отчетам ИБ-компаний Anheng, QiAnXin, Intezer и Secuinfra, в 2022 и 2023 годах было зафиксировано 7 и 8 атак соответственно, тесно связанных с Bitter, нацеленных на Пакистан, Бангладеш, Монголию и Китай. Атаки варьировались от подделки писем от посольства Киргизии до отправки электронных писем китайской ядерной промышленности.

Несмотря на то, что операции Bitter, в основном сосредоточены на сборе разведданных, и могут не казаться разрушительными на первый взгляд, они могут привести к значительным утечкам информации с неизмеримыми последствиями. На данный момент министерства иностранных дел Китая и Индии не дали никаких официальных комментариев по ситуации.