APT ruso 'Cadet Blizzard' detrás de los ataques de limpiaparabrisas en Ucrania

El 14 de junio se identificó a un actor de amenazas que desempeñó un papel clave en el período previo a la invasión rusa de Ucrania. La actividad de la amenaza persistente avanzada (APT, por sus siglas en inglés) "Cadet Blizzard" alcanzó su punto máximo de enero a junio del año pasado, lo que ayudó a allanar el camino. para la invasión militar.

Microsoft detalló la actividad en una entrada de blog. Las más notables entre las acciones de la APT fueron una campaña para desfigurar los sitios web del gobierno ucraniano y un limpiaparabrisas conocido como "WhisperGate" que fue diseñado para hacer que los sistemas informáticos queden completamente inoperables.

Estos ataques "precedieron múltiples oleadas de ataques de Seashell Blizzard": otro grupo ruso – “eso siguió cuando el ejército ruso comenzó su ofensiva terrestre un mes después”, explicó Microsoft.

Microsoft conectó a Cadet Blizzard con la agencia de inteligencia militar de Rusia, GRU.

Identificar el APT es un paso hacia la lucha contra el ciberdelito patrocinado por el estado ruso, dice Timothy Morris, asesor jefe de seguridad de Tanium, “sin embargo, siempre es más importante centrarse en los comportamientos y tácticas, técnicas y procedimientos (TTP) y no solo sobre quién está atacando.”

Comportamientos y TTP del cadete Blizzard

En general, Cadet Blizzard obtiene acceso inicial a los objetivos a través de vulnerabilidades comúnmente conocidas en servidores web orientados a Internet como Microsoft Exchange y Confluencia atlassiana. Después de comprometer una red, se mueve lateralmente, recolectando credenciales y escalando privilegios, y usando shells web para establecer la persistencia antes de robar datos confidenciales de la organización o implementar malware extirpador.

El grupo no discrimina en sus objetivos finales, con el objetivo de "perturbar, destruir y recopilar información, utilizando cualquier medio disponible y, a veces, actuando de manera aleatoria", explicó Microsoft.

Pero en lugar de ser un aprendiz de todos los oficios, Cadet es más como un maestro de nada. “Lo que quizás sea más interesante de este actor”, escribió Microsoft sobre APT, “es su tasa de éxito relativamente baja en comparación con otros actores afiliados a GRU como Seashell Blizzard [Iridium, Sandworm] y Forrest Blizzard (APT28, Fancy Bear, Sofacy, estroncio]. "

Por ejemplo, en comparación con Ataques de limpiaparabrisas atribuidos a Seashell Blizzard, WhisperGate de Cadet “afectó a un orden de magnitud de menos sistemas y tuvo un impacto comparativamente modesto, a pesar de haber sido entrenado para destruir las redes de sus oponentes en Ucrania”, explicó Microsoft. “Las operaciones cibernéticas más recientes de Cadet Blizzard, aunque ocasionalmente exitosas, tampoco lograron el impacto de las realizadas por sus contrapartes GRU”.

Considerando todo esto, no sorprende que los piratas informáticos también "parecen operar con un grado más bajo de seguridad operativa que el de los grupos rusos avanzados y de larga data", encontró Microsoft.

Qué esperar del Cadet Blizzard APT

Aunque se centra en asuntos relacionados con Ucrania, las operaciones de Cadet Blizzard no están particularmente enfocadas.

Además de desplegar su limpiador de firmas y desfigurar los sitios web del gobierno, el grupo también opera un foro de pirateo y filtración llamado "Free Civilian". Fuera de Ucrania, ha atacado objetivos en otras partes de Europa, Asia Central e incluso América Latina. Y además de las agencias gubernamentales, a menudo se dirigía a los proveedores de servicios de TI y los fabricantes de la cadena de suministro de software, así como a las ONG, los servicios de emergencia y las fuerzas del orden.

Pero si bien pueden tener una operación más complicada en ciertos aspectos, Sherrod DeGrippo, director de estrategia de inteligencia de amenazas en Microsoft, advierte que Cadet Blizzard sigue siendo un APT temible.

“Su objetivo es la destrucción, por lo que las organizaciones deben estar igualmente preocupadas por ellos, como lo harían con otros actores, y tomar medidas proactivas como activar las protecciones en la nube, revisar la actividad de autenticación y habilitar la autenticación multifactor (MFA) para protegerse contra ellos”, dice ella.

Por su parte, Morris recomienda que las organizaciones “comiencen con lo básico: autenticación sólida: MFA,

Teclas FIDO donde sea necesario — implementar el principio de privilegio mínimo; parche, parche, parche; asegúrese de que sus controles y herramientas de seguridad estén presentes y funcionando; y capacitar a los usuarios con frecuencia”.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• EVM Finanzas. Interfaz unificada para finanzas descentralizadas. Accede Aquí.
• Grupo de medios cuánticos. IR/PR amplificado. Accede Aquí.
• PlatoAiStream. Inteligencia de datos Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks