Palo Alto Networks analysenhet Unit 42 precis har publicerat en ny analysrapport om TGR-STA-1030, en avancerad statsnära aktör som med hög säkerhet har sin bas i Asien, genom attacker har gruppen fått tillgång till system och nätverk på myndigheter som hanterar samhällskritisk infrastruktur i 37 länder, vilket motsvarar nästan vart femte land globalt. Angreppen går under benämningen Shadow Campaigns, och i Europa har följande länder drabbats hittills: Tyskland, Italien, Polen, Portugal, Tjeckien, Serbien, Grekland och Cypern. Vidare har Unit 42 mellan november och december 2025 sett att gruppen genomförde aktiv kartläggning och spaning mot statlig infrastruktur kopplad till 155 länder.
TGR-STA-1030 arbetar med mycket hög precision i sina attacker och använder skräddarsydda verktyg snarare än automatiserade massangrepp. Genom sin reseach kunde Palo Alto Networks, genom Unit 42, identifiera dessa angreppsmönster globalt. Därefter har man samarbetat med branschpartners och myndigheter för att varna drabbade organisationer och erbjuda stöd för åtgärder och återställning.
Hela rapporten finns att läsa här.
Nedan följer en kortare teknisk sammanfattning:
Mål: Drabbade organisationer inkluderar fem nationella brottsbekämpande myndigheter och gränskontrollmyndigheter samt tre finansdepartement, liksom myndigheter med ansvar för handel, naturresurser och diplomati.
Snabbhet: Angriparna uppvisar hög flexibilitet och snabbhet, och genomförde ofta intrång inom några dagar efter större geopolitiska händelser.
Initial åtkomst: Angriparna använde avancerade phishingkampanjer för att få initial tillgång och utnyttjade ett brett spektrum av kända sårbarheter i programvara som Microsoft Exchange, SAP och Atlassian.
The Loader: De flesta loaders kontrollerar förekomsten av över 50 säkerhetsprodukter, vilket ofta leder till upptäckt. Denna skadliga kod kontrollerar endast fem stycken, vilket ger ett mycket litet kodavtryck och gör det lättare att kringgå traditionella säkerhetsfilter.
ShadowGuard-rootkit: Gruppen använde ett nyligen upptäckt rootkit för Linux-kärnan för att manipulera systemdata och förbli osynliga för standardverktyg.
