SideWinder-gruppens uppdaterade verktyg hotar sjöfart och kärnkraft

Cybersäkerhetsföretaget Picus Security har publicerat en rapport som belyser de utökade och uppdaterade operationella metoderna för den långvariga cyberespionagegruppen SideWinder. Gruppen, som varit aktiv sedan 2012, riktar nu sitt fokus alltmer mot strategiskt viktiga sektorer, inklusive sjöfart och kärnkraftsanläggningar.

Enligt Picus Security har SideWinder systematiskt utvidgat sin geografiska räckvidd och sina målsättningar över åren. Från att ursprungligen ha fokuserat på regionala intrång har gruppen expanderat till att omfatta omfattande kampanjer i Asien, Afrika och Europa. Nyligen genomförda kampanjer har visat ett särskilt intresse för organisationer inom offentlig förvaltning, militär, finans, sjöfart, logistik samt kärnkraftsindustrin.

Rapporten detaljerar de taktiker, tekniker och procedurer (TTP:er) som SideWinder använder. Gruppen utnyttjar ofta riktade nätfiskeattacker och skadliga filer eller länkar som primära accessmetoder. Infektioner baseras ofta på Windows skriptmiljöer, och syftar till att upprätthålla persistent närvaro genom schemalagda uppgifter och autostart-funktioner. Gruppen använder också avancerade tekniker för att kringgå försvar, såsom obfuskering och förklädnad, samt effektiva metoder för att stjäla inloggningsuppgifter.

Bland SideWinder's mest uppmärksammade aktiviteter finns en kampanj 2020 som använde COVID-19-temat för att locka offer, samt omfattande kampanjer mellan 2021 och 2024 som riktade sig mot över 60 organisationer i Syd- och Sydostasien. Under 2024 har gruppen utvidgat sina operationer till Afrika och Europa, med ett särskilt fokus på sjöfarts-infrastruktur och kärnkraftsanläggningar i Sydasien.

Picus Security erbjuder verktyg för organisationer att upptäcka och motverka hot från grupper som SideWinder. Syftet med analysen är att öka medvetenheten om gruppens utvecklande förmågor och hjälpa företag att stärka sitt försvar.