Хакерская группа APT24 начала использовать цепочки поставщиков и фишинг

24.11.2025

Исследователи Google Threat Intelligence Group сообщают, что группа APT24, связанная с КНР, за последние три года полностью изменила свой подход к кибершпионажу. Если раньше злоумышленники делали ставку на массовые атаки через сайты-«водоёмы», то теперь используют комплексную многовекторную стратегию, нацеленную на более точные и долгие проникновения.

Эксперты отмечают, что первоначальными атаками APT24 заражала популярные сайты, внедряя вредоносные скрипты, которые определяли потенциально интересных посетителей и перенаправляли их на загрузку вредоносного загрузчика. Но, по мере развития кампании, группа перешла к работе через цепочки поставщиков, компрометацию партнёрских компаний и продуманные фишинг-рассылки. В одном из зафиксированных эпизодов злоумышленники получили доступ к инфраструктуре подрядчика и через него вышли сразу на сотни доменов.

Ключевым инструментом APT24 остаётся многофункциональный загрузчик на C++, который собирает системную информацию, скрывает передачу данных и разворачивает в памяти дополнительные модули. Среди зафиксированных нагрузок - инструменты удалённого управления и средства для закрепления в инфраструктуре жертв.

Специалисты подчеркивают: смена тактики говорит о росте зрелости APT24. Группа ориентируется на долгосрочный доступ, использует несколько точек входа и старается минимизировать следы. Организациям рекомендуют усилить контроль цепочек поставщиков, пересмотреть политику в отношении фишинга и уделить внимание корреляции событий между всеми каналами входа в сеть.