Mezi prosincem 2025 a únorem 2026 čínská APT skupina FamousSparrow opakovaně napadala blíže nespecifikovanou azerbájdžánskou ropnou a plynárenskou firmu. Celkem třikrát. Pokaždé přes stejný vstupní bod neopravený Microsoft Exchange Server.
Útočníci se nevzdali po prvním odhalení. Ani po druhém. Vyměnili backdoor a vrátili se.
Způsob byl přes exploit chain ProxyNotShell zranitelnost Exchange Serveru, která je přitom známá a opravitelná od roku 2022. Po prvotním průniku nasadili útočníci webshell a backdoor Deed RAT (nástupce ShadowPad). Druhá vlna přinesla TernDoor, třetí opět upravenou verzi Deed RAT tentokrát s C2 serverem maskovaným pod doménu napodobující SentinelOne.
Technicky zajímavý detail: místo klasického DLL side-loadingu útočníci přepsali dvě konkrétní exportované funkce v podvržené knihovně načítané přes legitimní binárku LogMeIn Hamachi. Malware se tak aktivuje přirozeným způsobem jako součást normálního chodu aplikace. Antivirům to ztěžuje detekci.
Proč zrovna Ázerbájdžán? Po vypršení rusko-ukrajinské plynové tranzitní dohody v roce 2024 se stal Ázerbájdžán klíčovým alternativním energetickým koridorem pro Evropu. Kdo ho sleduje, sleduje evropskou energetickou závislost.
Poučení podle Bitdefenderu: nestačí smazat malware. Nestačí ani záplatovat. Je potřeba záplatovat, rotovat přihlašovací údaje a ověřit, že útočník nemá žádnou vedlejší cestu zpět jinak se prostě vrátí.
FamousSparrow sdílí nástroje i techniky se skupinami Earth Estries a Salt Typhoon stejnými, které loni napadaly americké telekomunikační operátory. Atribuce je s „mírnou až vysokou jistotou“, což v APT světě znamená: pravděpodobně ano, ale ne definitivně.
Zdroje
The hackernews https://thehackernews.com/2026/05/azerbaijani-energy-firm-hit-by-repeated.html
Bitdefender: https://www.bitdefender.com/en-us/blog/businessinsights/famoussparrow-apt-targets-azerbaijani-oil-gas-industry
