☁️ Nowo opisana kampania powiązana z APT41 pokazuje, że wspierane przez państwa grupy zagrożeń nadal ewoluują poza tradycyjne ataki na punkty końcowe i wkraczają w środowiska chmurowe (cloud-native). Według najnowszych doniesień powiązana z Chinami grupa używa skrytego backdoora dla Linuksa, aby atakować obciążenia chmurowe i zbierać poświadczenia z AWS, Google Cloud, Microsoft Azure i Alibaba Cloud. Złośliwe oprogramowanie ma według doniesień wykorzystywać port SMTP 25 jako ukryty kanał dowodzenia i kontroli (C2), a w momencie analizy miało zero wykryć w VirusTotal.
APT41, znane również jako Winnti, Wicked Panda, Barium, Silver Dragon i Brass Typhoon, od dawna jest kojarzone zarówno z działalnością szpiegowską, jak i operacjami cybernetycznymi motywowanymi finansowo. Google opisało wcześniej tę grupę jako płodnego podmiotu powiązanego z Chinami, który łączy działania sponsorowane przez państwo z cyberprzestępczością, co czyni ją jednym z bardziej wszechstronnych i niebezpiecznych aktywnych klastrów zagrożeń.
Backdoor dla Linuksa stworzony z myślą o chmurze
Złośliwe oprogramowanie opisane w raporcie to plik binarny ELF zaprojektowany specjalnie do utrzymywania dostępu w chmurowych instancjach Linux. Jest to pozbawiony symboli, statycznie skonsolidowany plik wykonywalny x86-64, co utrudnia analizę i zmniejsza liczbę oczywistych śladów kryminalistycznych. Badacze twierdzą, że odzwierciedla on co najmniej sześć lat inwestycji APT41 w narzędzia dla środowisk chmurowych, ewoluując od prostych reverse shelli do narzędzi do zbierania poświadczeń zbudowanych specjalnie z myślą o infrastrukturze chmurowej.
Szczególnie godny uwagi jest model komunikacji tego złośliwego oprogramowania. Zamiast polegać na konwencjonalnych webowych kanałach C2, które łatwiej skanować lub identyfikować po odciskach, wykorzystuje ono SMTP na porcie 25 jako ukrytą ścieżkę sterowania. Breakglass Intelligence poinformowało, że dzięki temu infrastruktura jest w praktyce niewidoczna dla popularnych platform skanowania internetu, takich jak Shodan i Censys.
Prawdziwym celem są poświadczenia chmurowe
Po wdrożeniu backdoor ma według doniesień natychmiast zacząć sondować metadane chmury i źródła poświadczeń. W środowiskach AWS obejmuje to dobrze znany punkt końcowy metadanych 169.254.169.254, który może ujawniać tymczasowe poświadczenia powiązane z rolą instancji. Złośliwe oprogramowanie odpytuje także usługi powiązane z Azure, Alibaba Cloud i GCP, co wskazuje na nastawienie na wiele chmur, a nie scenariusz ukierunkowany na jednego dostawcę.
Ma to znaczenie, ponieważ poświadczenia chmurowe mogą działać jak klucze do królestwa. Jeśli atakujący przechwyci prawidłowe tokeny tożsamości chmurowej lub tymczasowe poświadczenia, może poruszać się między usługami, uzyskiwać dostęp do magazynów danych, podnosić uprawnienia i utrzymywać dostęp, wyglądając jak prawowity użytkownik lub obciążenie. To jeden z powodów, dla których włamania do chmury mogą być tak niebezpieczne: atakujący nie zawsze potrzebują tradycyjnego trwałego złośliwego oprogramowania, jeśli mogą żyć z prawidłowej tożsamości.
Typosquatting pomaga ukryć kampanię
Badacze zauważyli również, że operacja wykorzystuje trzy domeny typosquattingowe zaprojektowane tak, by przypominały legalne usługi Alibaba Cloud oraz chińską firmę zajmującą się cyberbezpieczeństwem Qianxin. Domeny te zostały według doniesień zarejestrowane za pośrednictwem NameSilo w 24-godzinnym oknie w dniach 20–21 stycznia 2026 r., z włączoną ochroną prywatności. Breakglass poinformowało, że wzorzec rejestracji odpowiada znanemu zachowaniu APT41 przy pozyskiwaniu infrastruktury: masowa, tania rejestracja domen, po której następuje szybkie wdrożenie.
Ma to znaczenie, ponieważ typosquatting robi więcej niż tylko zwodzi przypadkowego obserwatora. W tym przypadku pomaga wtopić złośliwy ruch w tło legalnych operacji w chmurze. Nawet jeśli obrońcy zidentyfikują infrastrukturę, jak wynika z raportu, serwery C2 były celowo nieodpowiadające na przypadkowe sondowanie i angażowały się tylko w ruch zgodny z oczekiwanym wzorcem komunikacji złośliwego oprogramowania. To znacznie utrudnia polowanie na zagrożenia i potwierdzanie ich obecności.
Dlaczego ta kampania ma znaczenie
Ta kampania przypomina, że nowoczesne obciążenia chmurowe są dziś głównymi celami, a nie infrastrukturą drugorzędną. Atakujący nie próbują już tylko dostać się na laptopy i serwery z Windows. Coraz częściej idą prosto po obciążenia oparte na Linuksie, metadane instancji, tożsamości usług i dostęp do płaszczyzny sterowania chmury.
Dla obrońców wniosek jest prosty: bezpieczeństwo chmury to nie tylko kontrole obwodowe czy skanowanie podatności. To także utwardzanie tożsamości, ochrona metadanych, monitorowanie obciążeń i wykrywanie anomalnego ruchu wychodzącego. Jeśli atakujący może po cichu zebrać poświadczenia z instancji chmurowej, przejęcie może szybko rozszerzyć się poza pierwotnego hosta.
Na co powinni zwracać uwagę obrońcy
Breakglass zalecił wykrywanie na poziomie sieci, hosta i chmury. Do najważniejszych sygnałów należą:
- 📡 Wychodzący ruch SMTP na porcie 25 z obciążeń, które nie są serwerami poczty
- 📣 Ruch rozgłoszeniowy UDP na port 6006, który jest nietypowy i może wskazywać na złośliwe zachowanie
- 🔍 Połączenia z adresem 43[.]99[.]48[.]196 i zidentyfikowanymi domenami typosquattingowymi
- 📂 Nieoczekiwane odczyty plików z poświadczeniami chmurowymi
- ☁️ Wywołania API metadanych z niestandardowych procesów, a nie ze znanych SDK lub narzędzi CLI chmury
- 🧱 Pozbawione symboli, statycznie skonsolidowane pliki binarne ELF pojawiające się w nietypowych lokalizacjach, takich jak
/tmp,/var/tmplub/dev/shm
Po stronie chmury obrońcy powinni włączyć i przeglądać usługi takie jak AWS CloudTrail i Google Cloud Audit Logs, alarmować o użyciu poświadczeń z nietypowych adresów IP, analizować anomalne wzorce przyjmowania ról IAM oraz wdrożyć IMDSv2 w AWS, aby utrudnić kradzież poświadczeń opartą na metadanych.
Na zakończenie
Najnowsza kampania APT41 pokazuje, jak dojrzałe grupy zagrożeń dostosowują się do środowisk cloud-first, używając złośliwego oprogramowania zaprojektowanego specjalnie z myślą o obciążeniach Linux, zbieraniu poświadczeń i skrytej infrastrukturze. Wykorzystanie C2 opartego na SMTP, domen typosquattingowych i ataków na metadane chmury odzwierciedla wysoce przemyślane starania, by uniknąć widoczności i wtopić się we współczesne operacje.
💡 Wniosek jest jasny: w środowiskach chmurowych ochrona poświadczeń jest równie ważna jak ochrona systemów. Gdy atakujący uzyskają prawidłowy dostęp do chmury, mogą nie potrzebować hałaśliwego złośliwego oprogramowania, by wyrządzić szkody.
