Китайският кибершпионски конгломерат UNC3886 е осъществил поне по едно успешно проникване в мрежите на четирите най-големи телекомуникационни оператора в Сингапур – Singtel, StarHub, M1 и Simba през изминалата година. Това потвърди Агенцията за киберсигурност на Сингапур (CSA) в официална актуализация, публикувана след месеци на разследвания.

Въпреки че нападателите са получили ограничен достъп до критични системи, властите подчертават, че не е имало прекъсване на услуги и няма доказателства за компрометиране на чувствителни клиентски данни.

Целенасочена кампания срещу телекомуникационния сектор

Според CSA, атаките не са били случайни или опортюнистични, а представляват добре планирана и прецизно изпълнена операция, насочена конкретно към телекомуникационната инфраструктура на страната.

Акценти от разследването:

• използване на zero-day уязвимост за заобикаляне на периметрови защитни стени

• кражба на техническа информация с цел разширяване на атакуващите възможности

• при отделен инцидент – внедряване на rootkit компоненти за скрито присъствие и дългосрочна персистентност

• липса на странично придвижване, достатъчно дълбоко за саботаж или прекъсване на услуги

„Нашите разследвания показват, че UNC3886 е провела умишлена, целенасочена и добре координирана кампания срещу телекомуникационния сектор на Сингапур“, посочва CSA.

Operation Cyber Guardian и координиран държавен отговор

След първоначалното разкриване на инцидентите през юли 2025 г., Сингапур активира Operation Cyber Guardian – мащабна защитна операция за ограничаване на дейността на противника.

В рамките на отговора:

• над 100 експерти от шест държавни агенции са участвали в анализа

• уязвимите точки за достъп са били затворени незабавно

• мониторингът е разширен към други критични сектори, включително банкиране, транспорт и здравеопазване

• предотвратено е потенциално хоризонтално разпространение на атаката извън телекомуникационния сектор

Министърът на цифровото развитие и информацията Жозефин Тео подчерта, че липсата на сериозни щети не бива да води до самодоволство:

„Това не е повод за празнуване, а напомняне, че работата на киберзащитниците има значение.“

UNC3886 – утвърден държавно подкрепян конгломерат

UNC3886 е проследявана от изследователи на Mandiant още от 2023 г. и е известна с атаки срещу:

• правителствени институции

• телекомуникационни оператори

• технологични компании

Групата е използвала zero-day уязвимости във:

• FortiGate firewall устройства (CVE-2022-41328)

• VMware ESXi (CVE-2023-20867)

• VMware vCenter Server (CVE-2023-34048)

Подобни кампании бяха разкрити и извън Азия – включително атаки срещу американски и канадски телекомуникационни оператори, свързвани с китайски държавно ориентирани групи като Salt Typhoon.

В случая със Сингапур, не е разкрито коя конкретна zero-day уязвимост е била използвана, нито кой продукт или доставчик е бил засегнат.

Стратегическо значение и по-широк контекст

Сингапурският случай подчертава нарастващия фокус на държавно подкрепяни хакерски групи върху телекомуникационната инфраструктура като ключов елемент от националната сигурност. Контролът върху телеком мрежи осигурява стратегическо разузнавателно предимство и потенциална платформа за по-нататъшни операции срещу други критични сектори.

Макар щетите този път да са били ограничени, инцидентът ясно показва, че zero-day атаки, rootkit техники и дългосрочна персистентност остават основни инструменти в арсенала на съвременните кибершпионски операции.