Группа шпионов из Китая использовала уязвимости Google Workspace для кражи электронных писем из исследовательских и защитных организаций Северной Америки. Атака затронула медучреждения, академические и военные научные центры, что создает серьезные риски для национальной безопасности.
Способы атаки
Хакеры проникли в исследовательские сети через платформу REDCap, которая используется для управления базами данных научных исследований. В ходе атаки злоумышленники внедрили вредоносное ПО, получив доступ к учетным записям и внутренним сетям организаций. Это произошло в период с сентября 2023 до ноября 2025 года.
С помощью внедренного ПО, названного INFINITERED, хакеры извлекали учетные данные и устанавливали «заслонки» для дальнейших действий. Из чего стало ясно, что они планировали долгосрочную кампанию по кражам данных.
Как произошла кража данных
Группа использовала встроенные функции Google Workspace, чтобы перенаправлять сообщения на контролируемые ими почтовые адреса. Они создали ошибочно написанное правило «Patroit», которое отслеживало около 150 ключевых слов и фраз. По данным Google, это создало возможность бесшумного копирования электронных писем из интересующих их сферы: военных технологий, стратегических политик и медицинских исследований.
Исследователи из Google заявили, что такие методы кражи данных не наблюдались ранее от китайских акторов, что делает этот случай уникальным и опасным для многих учреждений.
Как реагировать на угрозу
Организациям, использующим REDCap, следует срочно обновить и проверить свои системы безопасности. Во-первых, обновите уязвимые версии REDCap, а во-вторых, проведите аудит всех правил содержательной соответствия в Google Workspace, чтобы исключить возможность возобновления атак.
Следующий этап борьбы с киберпреступностью связан с улучшением методов защиты данных и более глубоким анализом угроз для организаций, особенно в области высоких технологий и обороны.