Rosyjscy hakerzy obrali cel. Na celowniku m.in. Polacy

Jak informują eksperci ESET, rosyjscy cyberprzestępcy przeprowadzili m.in. bezprecedensowy cyberatak z użyciem destrukcyjnego oprogramowania DynoWiper wymierzony w firmę z sektora energetycznego.

Eksperci podkreślają, że ataki destrukcyjne prowadzone przez grupy rosyjskie poza Ukrainą nadal należą do rzadkości, jednak przypadek polskiej spółki energetycznej jest istotny ze względu na związek z infrastrukturą krytyczną państwa NATO. Możliwym celem operacji mogło być pośrednie zwiększenie presji na ukraiński system energetyczny w okresie zimowym.

Według badaczy ESET szczególnie aktywne pozostawały grupy powiązane z Chinami. Ich działania miały charakter przede wszystkim szpiegowski i były związane z interesami gospodarczymi oraz bezpieczeństwa Pekinu. W raporcie wskazano m.in. ataki na podmioty rządowe w Wenezueli, Syrii, Kambodży i Panamie, a także na firmę z sektora sztucznej inteligencji i robotyki w Korei Południowej.

Istotnym czynnikiem wpływającym na aktywność grup powiązanych z Iranem była wojna, która rozpoczęła się pod koniec lutego 2026 r. ESET odnotował spadek działań znanych irańskich grup APT, co mogło być skutkiem ograniczeń internetowych wprowadzonych przez tamtejsze władze. Jednocześnie badacze zaobserwowali wzrost aktywności podmiotów proxy i grup haktywistycznych wymierzonych w Izrael, Stany Zjednoczone oraz inne państwa uznawane przez Teheran za wrogie. Część operacji obejmowała zarówno działania szpiegowskie, jak i potencjalnie destrukcyjne narzędzia.

Aktywne pozostawały również grupy powiązane z Koreą Północną. Ich celem byli m.in. programiści oraz sektor kryptowalut, atakowani z wykorzystaniem socjotechniki. ESET zwrócił uwagę na dalszy rozwój kampanii Lazarus, w tym Operation DreamJob i Operation DangerousPassword. W ramach tej drugiej doszło do kompromitacji popularnej biblioteki JavaScript axios, wykorzystywanej w aplikacjach webowych i mobilnych na całym świecie. Atakujący użyli przejętych danych uwierzytelniających głównego opiekuna projektu, aby opublikować złośliwe wersje biblioteki.

Grupy powiązane z Rosją koncentrowały się głównie na Ukrainie i organizacjach wspierających jej wysiłek obronny. Według ESET grupa Sednit prowadziła operacje przeciwko ukraińskim wojskowym, producentom dronów oraz organizacjom zajmującym się badaniami i rozwojem technologii bezzałogowych. Z kolei Sandworm nasilił zimą działania destrukcyjne, wykorzystując nowe warianty złośliwego oprogramowania typu wiper.

Raport opisuje także działania mniej znanych lub nieprzypisanych jednoznacznie grup. Wśród nich znalazły się m.in. kampania phishingowa wymierzona w japoński think tank, spyware na Androida kierowany do użytkowników arabskojęzycznych oraz kompromitacja firmy obronnej w Zjednoczonych Emiratach Arabskich za pośrednictwem serwera SmartOffice CRM.

Z ustaleń ESET wynika, że aktywność grup APT pozostaje silnie powiązana z napięciami geopolitycznymi. Cyberoperacje coraz częściej łączą klasyczne szpiegostwo z działaniami destabilizującymi, a ich celem są nie tylko instytucje państwowe, lecz także firmy technologiczne, energetyczne, logistyczne i obronne.