Az orosz SolarWinds bűnösei újabb kibertámadásokat indítottak kémtámadások ellen

Ukrajna folyamatos inváziójának részeként az orosz hírszerzés ismét igénybe vette a Nobelium/APT29 hackercsoport szolgálatait, hogy ezúttal a NATO-tagországok külügyminisztériumai és diplomatái, valamint más európai uniós és afrikai célpontok után kémkedjenek. .

Az időzítés összhangban van a kanadai infrastruktúra elleni támadásokkal, amelyekről feltételezik, hogy szintén Oroszországhoz kötődnek.

A lengyel katonai kémelhárító szolgálat és a lengyelországi CERT-csapat április 13-án riasztást adott ki a kompromisszumra utaló jelekkel együtt, figyelmeztetve a kémkampány lehetséges célpontjait a fenyegetésre. Nobelium, ahogy a csoportot a Microsoft jelöli, más néven APT29 a Mandianttól, nem új a nemzetállami kémjátékban, a csoport állt a hírhedt SolarWinds ellátási lánc támadás közel három éve.

Az APT29 most visszatért egy teljesen új kártevő-eszközkészlettel, és felvonulási parancsokat jelentett, hogy beszivárogjanak az Ukrajnát támogató országok diplomáciai testületébe – magyarázta a lengyel hadsereg és a CERT riasztás.

Az APT29 új megrendelésekkel tért vissza

A lengyel figyelmeztetés szerint a fejlett állandó fenyegetés (APT) minden esetben egy jól kitalált adathalász e-maillel kezdi a támadását.

„Az európai országok nagykövetségeit kiadó e-maileket küldtek a diplomáciai posták kiválasztott személyzetének” – magyarázták a hatóságok. "A levelezés egy találkozóra vagy a dokumentumokon való közös munkára szóló meghívást tartalmazott."

Az üzenet ezután arra utasítja a címzettet, hogy kattintson egy linkre, vagy töltsön le egy PDF-fájlt, hogy hozzáférjen a nagykövet naptárához, vagy megtudja a találkozó részleteit – mindkettő elküldi a célpontokat a fenyegetési csoport „aláíró szkriptjével” betöltött rosszindulatú webhelyre, amelyet a jelentés a következőként azonosít. – Envyscout.

"ÉNA t a HTML-csempészési technikát alkalmazza, amelynek során az oldalra helyezett rosszindulatú fájlokat JavaScript segítségével dekódolják az oldal megnyitásakor, majd letöltik az áldozat eszközére” – tették hozzá a lengyel hatóságok. "Ez megnehezíti a rosszindulatú fájl észlelését azon a szerveroldalon, ahol tárolják."

A rosszindulatú oldal egy üzenetet is küld a célpontoknak, megnyugtatva őket, hogy a megfelelő fájlt töltötték le – áll a riasztásban.

„A lándzsás adathalász támadások akkor sikeresek, ha a kommunikáció jól meg van írva, személyes adatokat használnak fel a célpont ismeretének bizonyítására, és úgy tűnik, hogy legitim forrásból származnak” – mondja Patrick Harr, a SlashNext vezérigazgatója a Dark Readingnek a kampányról. "Ez a kémkampány a siker minden kritériumának megfelel."

egy adathalász e-mailpéldául a lengyel nagykövetségnek adta ki magát, és érdekes módon a megfigyelt kampány során az Envyscout eszközt háromszor módosították az elhomályosodás javításával – jegyezték meg a lengyel hatóságok.

A kompromittálódás után a csoport a Snowyamber letöltő, a Halfrig módosított verzióit használja, amely fut. Kobaltcsapás beágyazott kódként, és a Quarterrig, amely megosztja a kódot a Halfriggel – közölte a lengyel riasztás.

„Az ilyen támadások számának növekedését tapasztaljuk, amikor a rossz színész egy kampány több szakaszát alkalmazza, hogy kiigazítsa és javítsa a sikert” – teszi hozzá Harr. "Automatizálási és gépi tanulási technikákat alkalmaznak annak azonosítására, hogy mi kerüli el az észlelést, és módosítják a későbbi támadásokat a siker javítása érdekében."
A lengyel kiberbiztonsági hatóságok szerint a kormányoknak, diplomatáknak, nemzetközi szervezeteknek és nem kormányzati szervezeteknek fokozottan ébernek kell lenniük erre és más orosz kémkedési erőfeszítésekre.

"A Katonai Ellenfelderítő Szolgálat és a CERT.PL nyomatékosan javasolja, hogy minden entitás, amely a szereplő érdeklődési körébe tartozik, hajtson végre konfigurációs változtatásokat, hogy megzavarja a leírt kampányban használt kézbesítési mechanizmust" - mondták a tisztviselők.

Orosz kötődésű támadások Kanada infrastruktúrája ellen

A lengyel kiberbiztonsági tisztviselők figyelmeztetései mellett az elmúlt héten Justin Trudeau kanadai miniszterelnök nyilvános nyilatkozatokat tett a közelmúltban bekövetkezett támadásokról. Oroszországhoz köthető kibertámadások a kanadai infrastruktúrára irányul, beleértve szolgáltatásmegtagadási támadások a hidro-Québec, elektromos közmű, Trudeau irodájának webhelye, a Port of Quebecés Laurentian Bank. Trudeau szerint a kibertámadások Kanada Ukrajnának nyújtott támogatásához kapcsolódnak.

"A kormányzati webhelyek ellen elkövetett néhány szolgáltatásmegtagadásos támadás, amelyek néhány órára leállítják azokat, nem fog arra késztetni bennünket, hogy újragondoljuk azt az egyértelmű álláspontunkat, hogy mindent megteszünk, ameddig Ukrajna támogatására van szükség” – mondta Trudeau. , a jelentések szerint.

A Kanadai Kiberbiztonsági Központ főnöke, Sami Khoury a múlt heti sajtótájékoztatón azt mondta, hogy bár nem történt kár Kanada infrastruktúrájában, „a fenyegetés valós”. a kanadaiakhoz való hozzáférést, egészségügyi ellátást vagy általában olyan szolgáltatásokat nyújtanak, amelyeket a kanadaiak nem nélkülözhetnek, meg kell védenie rendszereit” – mondta Khoury. „Figyelje a hálózatait. Alkalmazzon enyhítéseket."

Az orosz kiberbűnözési erőfeszítések tombolnak

Miközben Oroszország Ukrajna elleni inváziója már második éve tart, Mike Parkin, a Vulcan Cyber ​​munkatársa szerint a közelmúltbeli kampányok aligha lehetnek meglepetések.

"A kiberbiztonsági közösség az ukrajnai konfliktus kezdete óta figyeli az ukrajnai konfliktus következményeit és járulékos kárait, és tudtuk, hogy orosz és oroszbarát fenyegetések aktívak a nyugati célpontok ellen" Parkin mondja. "Figyelembe véve a kiberbűnözők tevékenységének szintjét, amellyel már foglalkoztunk, [ezek] csak néhány új eszköz és új célpont – és egy emlékeztető, hogy megbizonyosodjunk arról, hogy védelmünk naprakész és megfelelően konfigurált.”

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• Platoblockchain. Web3 metaverzum intelligencia. Felerősített tudás. Hozzáférés itt.
• A jövő pénzverése – Adryenn Ashley. Hozzáférés itt.
• Forrás: https://www.darkreading.com/vulnerabilities-threats/russian-intel-services-behind-barrage-espionage-cyberattacks