Bezpieczeństwo · 13 października 2026
StealthMole odkrywa powiązania w śledztwie dotyczącym ataków na sektor finansowy
Firma StealthMole przeprowadziła analizę aktywności kont w serwisie Telegram, która doprowadziła do znalezienia śladów tożsamości osób powiązanych z podejrzanym o ataki hakerskie na koreański sektor finansowy.
Śledztwo objęło 19 kont w chińskojęzycznej społeczności cyberprzestępczej, w tym 17 kont zwykłych oraz dwa boty automatyczne. Analiza wykazała, że konto YY520CN pełniło rolę nadzorcy społeczności, podczas gdy inne konta zajmowały się zarządzaniem, wolontariatem lub reklamą. W ramach tej grupy zidentyfikowano powiązania między botami obsługującymi prośby o ataki typu DDoS a kontami służącymi do konsultacji zakupowych. Odnotowano 131 wiadomości dotyczących celów i metod ataków w bocie AZxhdGodbot, który kierował użytkowników do konta xhdvitas w celu dokonania zakupu usług.
Szczegółowa analiza konta wolontariusza o nazwie HangHang2017 pozwoliła na powiązanie go z dwoma numerami telefonów. Wykorzystując platformę DarkWeb Tracker, badacze znaleźli na serwisie GitHub konto o nazwie oswaldlow, gdzie w repozytorium usługi DemonSword widniał kontakt do HangHang2017. Te same dane kontaktowe pojawiły się w profilu programisty na GitHubie, co wskazuje na związek między aktywnością w Telegramie a działalnością deweloperską, choć wymaga to dalszej weryfikacji.
Krzyżowa analiza z bazami danych wykazała trzy przypadki infekcji złośliwym oprogramowaniem kradnącym dane z lat 2021, 2022 i 2023, co pozwoliło na pozyskanie trzech adresów IP. W zapisach tych znaleziono ślady oprogramowania RedLine oraz Raccoon, a także dane kont w chmurach Microsoft i Oracle, nazwy użytkowników systemu Windows oraz ścieżki dostępu do OneDrive. StealthMole zaznacza jednak, że adresy IP pochodzą z historycznych zapisów infekcji i nie zostały potwierdzone jako źródła ataków na koreańskie instytucje finansowe.
Dodatkowo w materiałach z Telegrama z okresu od kwietnia 2023 do września 2026 roku znaleziono co najmniej 101 plików zawierających wycieki danych, w tym pliki typu combo z loginami i hasłami oraz pliki ULP. Zidentyfikowano również adresy wykorzystywane do zarządzania serwerami, pamięciami sieciowymi NAS oraz serwerami proxy, przy czym odnotowano modyfikacje skryptów instalacyjnych proxy przez programistę powiązanego z badanym kontem.
Pomimo zebranych dowodów, nie potwierdzono, czy członkowie społeczności, w tym HangHang2017, bezpośrednio uczestniczyli w atakach na sektor finansowy. Obecne dane wykazują jedynie powiązania między kontami i aktywnością online, a nie tożsamość prawną, narodowość czy miejsce zamieszkania operatorów. Wyniki analizy mogą posłużyć organom ścigania do dalszej weryfikacji tożsamości i stopnia zaangażowania w cyberataki.