Venemaa APT "Cadet Blizzard" Ukraina klaasipuhastite rünnakute taga

Ohustaja, kes mängis võtmerolli Venemaa sissetungi eel Ukrainasse, tuvastati 14. juunil. Kadettide lumetormi (APT) tegevus saavutas haripunkti eelmise aasta jaanuarist juunini, aidates sellega teed sillutada. sõjaliseks invasiooniks.

Microsoft kirjeldas tegevust blogi postitus. APT tegevustest oli kõige tähelepanuväärsem kampaania Ukraina valitsuse veebisaitide rikkumiseks ja klaasipuhasti, mida tuntakse kui "WhisperGate" mis oli mõeldud arvutisüsteemide täielikuks töövõimetuks muutmiseks.

Need rünnakud "eelnesid mitmele Seashell Blizzardi rünnakulainele" - teine ​​vene rühmitus "See järgnes sellele, kui Vene sõjavägi alustas kuu aega hiljem maapealset pealetungi," selgitas Microsoft.

Microsoft ühendas Cadet Blizzardi Venemaa sõjaväeluure agentuuri GRU-ga.

APT tuvastamine on samm Venemaa riiklikult toetatud küberkuritegevuse vastu võitlemise suunas, ütleb Taniumi peajulgeolekunõunik Timothy Morris, "samas on alati olulisem keskenduda käitumisele ja taktikale, tehnikatele ja protseduuridele (TTP), mitte ainult. kes ründab."

Kadettide Blizzardi käitumine ja TTP-d

Üldiselt saab Cadet Blizzard esialgse juurdepääsu sihtmärkidele Interneti-ühendusega veebiserverite üldtuntud haavatavuste kaudu, nagu Microsoft Exchange ja Atlassia ühinemine. Pärast võrgu kahjustamist liigub see külgsuunas, kogub mandaate ja suurendab privileege ning kasutab veebikestasid, et tagada püsivus enne tundlike organisatsiooniandmete varastamist või hävitava pahavara juurutamist.

Rühm ei diskrimineeri oma lõppeesmärke, püüdes "häirida, hävitada ja koguda teavet, kasutades kõiki olemasolevaid vahendeid ja tegutsedes mõnikord juhuslikult," selgitas Microsoft.

Kuid selle asemel, et olla kõigi ametite meister, on Cadet pigem mitte ühegi meister. "Selle näitleja juures on võib-olla kõige huvitavam," kirjutas Microsoft APT kohta, "on selle suhteliselt madal edukus võrreldes teiste GRU-ga seotud näitlejatega, nagu Seashell Blizzard [Iridium, Sandworm] ja Forrest Blizzard (APT28, Fancy Bear, Sofacy, Strontium]. "

Näiteks võrreldes Seashell Blizzardile omistatud klaasipuhasti rünnakud, Cadeti WhisperGate "mõjutas suurusjärgu võrra vähem süsteeme ja andis suhteliselt tagasihoidliku mõju, vaatamata sellele, et seda õpetati hävitama Ukraina vastaste võrke," selgitas Microsoft. "Hiljutised Cadet Blizzardi küberoperatsioonid, ehkki aeg-ajalt olid edukad, ei suutnud samamoodi saavutada GRU kolleegide poolt läbiviidud mõju."

Kõike seda arvesse võttes pole üllatav, et häkkerid "paistavad töötavat madalama turvalisusega kui pikaajalised ja arenenud Venemaa rühmitused", leidis Microsoft.

Mida oodata Cadet Blizzard APT-lt

Kuigi Cadet Blizzardi operatsioonid keskenduvad Ukrainaga seotud küsimustele, pole need eriti keskendunud.

Lisaks signatuuripuhasti kasutuselevõtule ja valitsuse veebisaitide rikkumisele haldab grupp ka häkkimise ja lekitamise foorumit nimega "Free Civilian". Väljaspool Ukrainat on see rünnanud sihtmärke mujal Euroopas, Kesk-Aasias ja isegi Ladina-Ameerikas. Lisaks valitsusasutustele oli see sageli suunatud IT-teenuste pakkujatele ja tarkvara tarneahela tootjatele, samuti valitsusvälistele organisatsioonidele, hädaabiteenistustele ja õiguskaitseorganitele.

Kuid kuigi neil võib teatud viisil olla segasem tegevus, hoiatab Microsofti ohuluurestrateegia direktor Sherrod DeGrippo, et Cadet Blizzard on endiselt hirmutav APT.

"Nende eesmärk on hävitamine, nii et organisatsioonid peavad olema nende pärast samamoodi mures, nagu ka teised osalejad, ning võtma ennetavaid meetmeid, nagu pilvekaitse sisselülitamine, autentimistegevuse ülevaatamine ja mitmefaktorilise autentimise (MFA) lubamine nende eest kaitsmiseks," ütleb ta.

Morris soovitab omalt poolt organisatsioonidel „alustada põhitõdedest: tugev autentimine – MFA,

Vajadusel FIDO võtmed — rakendama vähimate privileegide põhimõtet; plaaster, plaaster, plaaster; veenduge, et teie turvakontroll ja tööriistad on olemas ja töötavad; ja koolitage kasutajaid sageli."

• SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
• EVM Finance. Detsentraliseeritud rahanduse ühtne liides. Juurdepääs siia.
• Quantum Media Group. IR/PR võimendatud. Juurdepääs siia.
• PlatoAiStream. Web3 andmete luure. Täiustatud teadmised. Juurdepääs siia.
• Allikas: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks