Китайские хакеры больше года скрывались в медицинских исследовательских сетях

Google Threat Intelligence Group сообщила о кампании UNC6508 - связанной с КНР шпионской группы, которая атаковала медицинские, академические и военные исследовательские организации в Северной Америке. По данным Google, злоумышленники оставались незамеченными больше года и собирали данные, связанные с медицинскими исследованиями, ИИ, беспилотными системами, киберпрограммами и оборонной тематикой.

Атаки начинались с компрометации внешних серверов REDCap - платформы для управления базами данных и онлайн-опросами, широко используемой в медицинских и научных проектах. Первый известный взлом произошел в сентябре 2023 года, а активность продолжалась до ноября 2025 года. После закрепления на REDCap-серверах UNC6508 внедряла кастомное вредоносное ПО INFINITERED для кражи учетных данных.

INFINITERED встраивался в легитимные файлы REDCap, переживал обновления системы и работал как модульный бэкдор. Он мог собирать логины и пароли, выполнять команды, загружать и скачивать файлы, запускать SQL-запросы и передавать сведения о сервере, включая конфигурационные данные и учетные записи базы.

После получения административного доступа злоумышленники использовали необычный способ эксфильтрации почты: создали правило content compliance с названием “Patroit”, которое незаметно пересылало подходящие письма на контролируемый Gmail-аккаунт. Правило искало сообщения по ключевым словам и адресам, связанным с военной стратегией, медицинскими исследованиями, геополитикой и передовыми технологиями.

Google отключила связанную инфраструктуру, уведомила пострадавшие организации и выпустила индикаторы компрометации. Компания рекомендует обновить REDCap, удалить старые версии, включить фишинг-устойчивую двухфакторную аутентификацию, проверять admin audit logs и отдельно искать следы INFINITERED на REDCap-серверах.