ESET: 'Belarussische hackersgroepen werken steeds nauwer samen met Rusland'

Ook elders in de wereld veranderde het beeld. Aan Iran gelieerde groepen waren in het Midden-Oosten weer actiever, Noord-Koreaanse groepen toonden meer belangstelling voor Oekraïne en Chinese groepen richtten zich vooral op overheidsorganisaties om inlichtingen te verzamelen.

Belarus als extra aanvalscapaciteit

Aan Rusland gelieerde groepen bleven de Russische oorlogsdoelen ondersteunen. Ze vielen overheden, defensieorganisaties en militaire doelen in Europa aan, met aanzienlijk meer doelwitten in Oekraïne dan eerder. De onderzoekers zagen duidelijke overeenkomsten tussen Russische en Belarussische campagnes, wat erop wijst dat de groepen operationeel steeds vaker samenwerken.

Belarussische groepen lijken Rusland te helpen als digitale tussenpersoon of als extra aanvalscapaciteit. Hun activiteit nam toe en komt op sommige terreinen steeds meer overeen met de inlichtingendoelen van Rusland in Oekraïne.

Opvallend was de sterke daling van de activiteit van de Russische groep Gamaredon. Mogelijk hangt die samen met Oekraïense aanvallen op de Krim, waar de groep vermoedelijk actief is. Een reorganisatie of andere oorzaken zijn ook mogelijk. ESET onderzoekt dat verder.

Iraanse groepen hervatten aanvallen

In het Midden-Oosten nam de cyberactiviteit toe, vooral doordat bekende Iraanse groepen hun aanvallen hervatten. Het gaat om FilthyFeline, een subgroep van OilRig, en om MuddyWater. Ze richtten zich vooral op organisaties in verschillende sectoren in Israël. Een kleiner aantal Amerikaanse bedrijven werd ook aangevallen.

FilthyFeline lijkt bovendien aanvallen op een aanbieder van mobiele datadiensten in Oezbekistan te hebben overgenomen. Daarnaast ontdekte ESET activiteit van Arid Viper, een groep met banden met Hamas. Die richtte zich vermoedelijk op het ministerie van Buitenlandse Zaken en Emigranten van de Palestijnse Autoriteit of op een verbonden overheidsorganisatie.

Noord-Korea richt de blik op Oekraïne

Noord-Koreaanse groepen vielen grotendeels dezelfde sectoren aan als in eerdere periodes: technologiebedrijven, cryptobedrijven, softwareontwikkelaars en andere doelwitten die zich voordeden. Naast Zuid-Korea wordt ook Oekraïne een steeds belangrijker doelwit. Dat hangt waarschijnlijk samen met de nauwere banden tussen Rusland en Noord-Korea, dat Rusland niet alleen van munitie en andere militaire middelen voorziet, maar ook militairen inzet.

De Noord-Koreaanse groep Lazarus hervatte daarnaast haar aanvallen op de dronesector. Ze gebruikt daarvoor meestal valse vacatures en andere misleiding rond sollicitaties om binnen te komen bij organisaties.

China: chipindustrie en misdaadbestrijding

Bij Chinese groepen viel een bredere reeks aanvallen op Taiwanese organisaties in de halfgeleiderindustrie op. Die past bij de langdurige Chinese belangstelling voor industriële spionage en onderstreept het strategische belang van chiptoeleveringsketens voor economische concurrentie en nationale veiligheid.

Daarnaast voerden Chinese groepen campagnes uit die waarschijnlijk Chinese inspanningen tegen georganiseerde criminaliteit ondersteunden. De aanvallen troffen onder meer personen met banden met fraudepraktijken en maakten mogelijk deel uit van een bredere regionale aanpak van financiële criminaliteit.

AI verandert het beeld nog niet ingrijpend

APT-groepen gebruiken kunstmatige intelligentie in verschillende fasen van hun aanvallen. ESET ziet echter nog geen aanwijzingen dat AI het dreigingslandschap de afgelopen zes maanden ingrijpend heeft veranderd.

"Tijdens deze drukke periode van zes maanden zagen onze onderzoekers verschillende APT-groeperingen AI en grote taalmodellen gebruiken. Aanvallers zetten deze technologie vooral in om tijdrovende taken te versnellen, zoals malwareontwikkeling en het maken van misleidende websites", zegt Jean-Ian Boutin, Director of Threat Research bij ESET.

"Soms leek dit op vibe coding. Aanvallers lieten AI snel code schrijven en pasten deze vervolgens zelf aan voor hun bestaande hulpmiddelen. Een opvallend voorbeeld is de Rusland-gerelateerde groep UAC-0099. Die plaatste in een script een misleidend verzoek om instructies voor het bouwen van een kernwapen. Daarmee probeerde de groep vermoedelijk de veiligheidsfilters van AI-gebaseerde beveiligingsanalyses te activeren. Zo wilde ze waarschijnlijk voorkomen dat de schadelijke code eronder werd onderzocht", vult Boutin aan.

Meer informatie is hier te vinden.