Venäjän APT "Cadet Blizzard" Ukrainan pyyhkijöiden takana

14. kesäkuuta tunnistettiin uhkatekijä, jolla oli avainrooli Venäjän hyökkäyksen johdossa Ukrainaan. Edistyneen jatkuvan uhan "Cadet Blizzard" (APT) toiminta oli huipussaan viime vuoden tammi-kesäkuussa, mikä auttoi tasoittamaan tietä. sotilaallista hyökkäystä varten.

Microsoft selosti toimintaa blogi. Merkittävin APT:n toimista oli kampanja Ukrainan hallituksen verkkosivustojen turmelemiseksi ja pyyhin, joka tunnetaan nimellä "WhisperGate" jonka tarkoituksena oli tehdä tietokonejärjestelmistä täysin käyttökelvottomia.

Nämä hyökkäykset "edistivät useita Seashell Blizzardin hyökkäysaaltoja" - toinen venäläinen ryhmä "Se seurasi, kun Venäjän armeija aloitti maahyökkäyksensä kuukautta myöhemmin", Microsoft selitti.

Microsoft yhdisti Cadet Blizzardin Venäjän sotilastiedusteluviraston GRU:hun.

APT:n tunnistaminen on askel kohti Venäjän valtion tukeman kyberrikollisuuden torjuntaa, sanoo Taniumin turvallisuusneuvonantaja Timothy Morris. "On kuitenkin aina tärkeämpää keskittyä käyttäytymiseen ja taktiikoihin, tekniikoihin ja menettelyihin (TTP) eikä pelkästään kuka hyökkää."

Cadet Blizzardin käyttäytyminen ja TTP:t

Yleensä Cadet Blizzard saa ensimmäisen pääsyn kohteisiin Internet-verkkopalvelimien yleisesti tunnettujen haavoittuvuuksien kautta, kuten Microsoft Exchange ja Atlassian yhtymäkohta. Kun verkko on vaarantunut, se liikkuu sivusuunnassa, kerää valtuustietoja ja lisää käyttöoikeuksia ja käyttää Web-kuoret pysyvyyden varmistamiseen ennen arkaluonteisten organisaatiotietojen varastamista tai tuhoavien haittaohjelmien käyttöönottoa.

Ryhmä ei syrji tavoitteissaan ja pyrkii "häiritsemään, tuhoamaan ja keräämään tietoa käyttäen mitä tahansa saatavilla olevia keinoja ja joskus toimien sattumanvaraisesti", Microsoft selitti.

Mutta sen sijaan, että Cadet olisi kaiken ammatin jätkä, hän on enemmän kuin minkään mestari. "Mielenkiintoisin tässä näyttelijässä on kenties", Microsoft kirjoitti APT:stä, "on sen suhteellisen alhainen onnistumisprosentti verrattuna muihin GRU:hun liittyviin näyttelijöihin, kuten Seashell Blizzard [Iridium, Sandworm] ja Forrest Blizzard (APT28, Fancy Bear, Sofacy, Strontium].”

Esimerkiksi verrattuna Seashell Blizzardin aiheuttamat pyyhkimen hyökkäykset, Cadet's WhisperGate "vaikutti suuruusluokkaa vähemmän järjestelmiä ja tarjosi suhteellisen vaatimattoman vaikutuksen, vaikka se oli koulutettu tuhoamaan vastustajiensa verkkoja Ukrainassa", Microsoft selitti. "Uudemmat Cadet Blizzardin kyberoperaatiot, vaikkakin toisinaan onnistuneet, eivät myöskään saavuttaneet GRU-vastineidensa vaikutusta."

Kaikki tämä huomioon ottaen ei ole yllättävää, että hakkerit "näyttävät myös toimivan heikommin toimintavarmuudella kuin pitkäaikaiset ja edistyneet venäläiset ryhmät", Microsoft havaitsi.

Mitä odottaa Cadet Blizzard APT:ltä

Vaikka Cadet Blizzardin toiminta keskittyy Ukrainaan liittyviin asioihin, se ei ole erityisen keskittynyt.

Allekirjoituksen pyyhkijän käyttöönoton ja hallituksen verkkosivustojen turmelemisen lisäksi ryhmällä on myös hakkerointi- ja vuotofoorumi nimeltä "Free Civilian". Ukrainan ulkopuolella se on hyökännyt kohteisiin muualla Euroopassa, Keski-Aasiassa ja jopa Latinalaisessa Amerikassa. Ja valtion virastojen lisäksi se kohdistui usein IT-palvelujen tarjoajiin ja ohjelmistojen toimitusketjujen valmistajiin sekä kansalaisjärjestöihin, hätäpalveluihin ja lainvalvontaviranomaisiin.

Mutta vaikka heillä saattaa olla tietyillä tavoilla sotkuisempaa toimintaa, Microsoftin uhkien tiedustelustrategian johtaja Sherrod DeGrippo varoittaa, että Cadet Blizzard on edelleen pelottava APT.

"Heidän tavoitteenaan on tuhoaminen, joten organisaatioiden on ehdottomasti oltava heistä yhtä huolissaan kuin muistakin toimijoista ja ryhdyttävä ennakoiviin toimiin, kuten pilvisuojausten käyttöönotto, todennustoiminnan tarkistaminen ja ottaa käyttöön monitekijätodennuksen (MFA) suojellakseen niitä", hän sanoo.

Morris puolestaan ​​suosittelee, että organisaatiot "aloitavat perusasioista: vahva todennus - MFA,

FIDO-avaimet tarvittaessa — Vähiten etuoikeuksien periaate on pantava täytäntöön; laastari, laastari, laastari; varmista, että turvatarkastuksesi ja työkalusi ovat olemassa ja toimivat; ja kouluttaa käyttäjiä usein."

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• EVM Finance. Hajautetun rahoituksen yhtenäinen käyttöliittymä. Pääsy tästä.
• Quantum Media Group. IR/PR vahvistettu. Pääsy tästä.
• PlatoAiStream. Web3 Data Intelligence. Tietoa laajennettu. Pääsy tästä.
• Lähde: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks