Οι Ρώσοι ένοχοι της SolarWinds εξαπολύουν νέο μπαράζ κατασκοπευτικών κυβερνοεπιθέσεων

Στο πλαίσιο της συνεχιζόμενης εισβολής της στην Ουκρανία, η ρωσική υπηρεσία πληροφοριών έχει για άλλη μια φορά επιστρατεύσει τις υπηρεσίες της ομάδας χάκερ Nobelium/APT29, αυτή τη φορά για να κατασκοπεύσει υπουργεία Εξωτερικών και διπλωμάτες από κράτη μέλη του ΝΑΤΟ, καθώς και άλλους στόχους στην Ευρωπαϊκή Ένωση και την Αφρική .

Το χρονοδιάγραμμα συνδυάζεται επίσης με μια σειρά επιθέσεων σε καναδικές υποδομές, που πιστεύεται επίσης ότι συνδέονται με τη Ρωσία.

Η Πολωνική Στρατιωτική Υπηρεσία Αντικατασκοπείας και η ομάδα CERT στην Πολωνία εξέδωσαν προειδοποίηση στις 13 Απριλίου, μαζί με δείκτες συμβιβασμού, προειδοποιώντας πιθανούς στόχους της εκστρατείας κατασκοπείας σχετικά με την απειλή. Νόμπελι, όπως ονομάστηκε επίσης η ομάδα από τη Microsoft APT29 από τη Mandiant, δεν είναι νέο στο παιχνίδι κατασκοπείας έθνους-κράτους, η ομάδα ήταν πίσω από το διαβόητο Επίθεση αλυσίδας εφοδιασμού της SolarWinds πριν από σχεδόν τρία χρόνια.

Τώρα, το APT29 επιστρέφει με ένα εντελώς νέο σύνολο εργαλείων κακόβουλου λογισμικού και έχει αναφερθεί εντολές πορείας για διείσδυση στο διπλωματικό σώμα χωρών που υποστηρίζουν την Ουκρανία, εξήγησε ο πολωνικός στρατός και η προειδοποίηση CERT.

Το APT29 επιστρέφει με νέες παραγγελίες

Σε κάθε περίπτωση, η προηγμένη επίμονη απειλή (APT) ξεκινά την επίθεσή της με ένα καλά σχεδιασμένο ηλεκτρονικό μήνυμα ηλεκτρονικού ψαρέματος (spear-phishing), σύμφωνα με την πολωνική ειδοποίηση.

«Τα email που υποδύονταν τις πρεσβείες ευρωπαϊκών χωρών στάλθηκαν σε επιλεγμένο προσωπικό σε διπλωματικές θέσεις», εξήγησαν οι αρχές. «Η αλληλογραφία περιείχε μια πρόσκληση σε μια συνάντηση ή να εργαστούμε μαζί για έγγραφα».

Στη συνέχεια, το μήνυμα θα κατευθύνει τον παραλήπτη να κάνει κλικ σε έναν σύνδεσμο ή να κατεβάσει ένα PDF για να αποκτήσει πρόσβαση στο ημερολόγιο του πρεσβευτή ή να λάβει λεπτομέρειες της σύσκεψης — και οι δύο στέλνουν τους στόχους σε έναν κακόβουλο ιστότοπο που είναι φορτωμένος με το «σενάριο υπογραφής» της ομάδας απειλών, το οποίο η αναφορά προσδιορίζει ως "Envyscout."

«εγώt χρησιμοποιεί την τεχνική HTML-smuggling — σύμφωνα με την οποία ένα κακόβουλο αρχείο που τοποθετείται στη σελίδα αποκωδικοποιείται χρησιμοποιώντας JavaScript όταν ανοίγει η σελίδα και στη συνέχεια γίνεται λήψη στη συσκευή του θύματος», πρόσθεσαν οι πολωνικές αρχές. "Αυτό καθιστά πιο δύσκολο τον εντοπισμό του κακόβουλου αρχείου από την πλευρά του διακομιστή όπου είναι αποθηκευμένο."

Ο κακόβουλος ιστότοπος στέλνει επίσης στους στόχους ένα μήνυμα που τους καθησυχάζει ότι κατέβασαν το σωστό αρχείο, ανέφερε η ειδοποίηση.

«Οι επιθέσεις Spear-phishing είναι επιτυχείς όταν οι επικοινωνίες είναι καλογραμμένες, χρησιμοποιούν προσωπικές πληροφορίες για να αποδείξουν την εξοικείωση με τον στόχο και φαίνεται ότι προέρχονται από νόμιμη πηγή», λέει ο Patrick Harr, Διευθύνων Σύμβουλος της SlashNext, στο Dark Reading σχετικά με την καμπάνια. «Αυτή η εκστρατεία κατασκοπείας πληροί όλα τα κριτήρια επιτυχίας».

Ένας email ηλεκτρονικού "ψαρέματος"Ο , για παράδειγμα, υποδύθηκε την Πολωνική πρεσβεία και, είναι ενδιαφέρον, κατά τη διάρκεια της εκστρατείας που παρατηρήθηκε, το εργαλείο Envyscout τροποποιήθηκε τρεις φορές με βελτιώσεις συσκότισης, σημείωσαν οι πολωνικές αρχές.

Μόλις παραβιαστεί, η ομάδα χρησιμοποιεί τροποποιημένες εκδόσεις του προγράμματος λήψης Snowyamber, Halfrig, το οποίο εκτελείται Απεργία κοβαλτίου ως ενσωματωμένος κώδικας, και η Quarterrig, η οποία μοιράζεται κώδικα με τη Halfrig, ανέφερε η πολωνική ειδοποίηση.

«Βλέπουμε μια αύξηση σε αυτές τις επιθέσεις όπου ο κακός ηθοποιός χρησιμοποιεί πολλαπλά στάδια σε μια καμπάνια για να προσαρμόσει και να βελτιώσει την επιτυχία», προσθέτει ο Harr. «Χρησιμοποιούν τεχνικές αυτοματοποίησης και μηχανικής μάθησης για να εντοπίσουν τι αποφεύγει τον εντοπισμό και να τροποποιήσουν τις επόμενες επιθέσεις για να βελτιώσουν την επιτυχία».
Οι κυβερνήσεις, οι διπλωμάτες, οι διεθνείς οργανισμοί και οι μη κυβερνητικές οργανώσεις (ΜΚΟ) θα πρέπει να βρίσκονται σε εγρήγορση για αυτήν και άλλες ρωσικές προσπάθειες κατασκοπείας, σύμφωνα με τις πολωνικές αρχές κυβερνοασφάλειας.

"Η Στρατιωτική Υπηρεσία Αντικατασκοπείας και η CERT.PL συνιστούν σθεναρά όλες οι οντότητες που ενδέχεται να βρίσκονται στην περιοχή ενδιαφέροντος του ηθοποιού να εφαρμόσουν αλλαγές διαμόρφωσης για να διαταράξουν τον μηχανισμό παράδοσης που χρησιμοποιήθηκε στην περιγραφόμενη εκστρατεία", ανέφεραν αξιωματούχοι.

Επιθέσεις που συνδέονται με τη Ρωσία στην υποδομή του Καναδά

Εκτός από τις προειδοποιήσεις από Πολωνούς αξιωματούχους κυβερνοασφάλειας, την περασμένη εβδομάδα, ο Πρωθυπουργός του Καναδά Τζάστιν Τριντό έκανε δημόσιες δηλώσεις σχετικά με μια πρόσφατη έκρηξη Κυβερνοεπιθέσεις που συνδέονται με τη Ρωσία με στόχο την καναδική υποδομή, συμπεριλαμβανομένων επιθέσεις άρνησης εξυπηρέτησης σε υδρο-Κεμπέκ, ηλεκτρικό δίκτυο, ο ιστότοπος για το γραφείο του Τριντό, το λιμάνι του Κεμπέκ, να Laurentian Bank. Ο Τριντό είπε ότι οι κυβερνοεπιθέσεις σχετίζονται με την υποστήριξη του Καναδά στην Ουκρανία.

"Μερικές επιθέσεις άρνησης υπηρεσίας σε κυβερνητικούς ιστότοπους, μειώνοντας τους για λίγες ώρες, δεν πρόκειται να μας αναγκάσουν να ξανασκεφτούμε τη στάση μας να κάνουμε ό,τι χρειάζεται για όσο διάστημα χρειάζεται για να υποστηρίξουμε την Ουκρανία», είπε ο Τριντό. , Σύμφωνα με τις εκθέσεις.

Το αφεντικό του Καναδικού Κέντρου για την Ασφάλεια στον Κυβερνοχώρο, Sami Khoury, είπε σε συνέντευξη Τύπου την περασμένη εβδομάδα ότι, ενώ δεν υπήρξε ζημιά στην υποδομή του Καναδά, «η απειλή είναι πραγματική». πρόσβαση σε Καναδούς, παροχή υγειονομικής περίθαλψης ή γενικά λειτουργία οποιασδήποτε από τις υπηρεσίες που δεν μπορούν να κάνουν οι Καναδοί, πρέπει να προστατεύσετε τα συστήματά σας», είπε ο Khoury. «Παρακολουθήστε τα δίκτυά σας. Εφαρμόστε μετριασμούς.»

Οι προσπάθειες της Ρωσίας για το ηλεκτρονικό έγκλημα συνεχίζονται

Καθώς η εισβολή της Ρωσίας στην Ουκρανία συνεχίζεται για τον δεύτερο χρόνο της, ο Mike Parkin με τη Vulcan Cyber ​​λέει ότι οι πρόσφατες εκστρατείες δεν πρέπει να αποτελούν έκπληξη.

«Η κοινότητα της κυβερνοασφάλειας παρακολουθεί τις συνέπειες και τις παράπλευρες ζημιές από τη σύγκρουση στην Ουκρανία από τότε που ξεκίνησε, και γνωρίζουμε ότι Ρώσοι και φιλορώσοι παράγοντες απειλών ήταν ενεργοί εναντίον δυτικών στόχων». λέει ο Πάρκιν. "Λαμβάνοντας υπόψη τα επίπεδα κυβερνοεγκληματικής δραστηριότητας με τα οποία αντιμετωπίζαμε ήδη, [αυτά είναι] μερικά νέα εργαλεία και νέοι στόχοι — και μια υπενθύμιση για να βεβαιωθούμε ότι οι άμυνές μας είναι ενημερωμένες και σωστά διαμορφωμένες».

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• Platoblockchain. Web3 Metaverse Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• Minting the Future με την Adryenn Ashley. Πρόσβαση εδώ.
• πηγή: https://www.darkreading.com/vulnerabilities-threats/russian-intel-services-behind-barrage-espionage-cyberattacks