Pelaku SolarWinds Rusia Meluncurkan Rentetan Baru Serangan Cyber ​​Spionase

Sebagai bagian dari invasi berkelanjutan ke Ukraina, intelijen Rusia sekali lagi meminta bantuan kelompok peretas Nobelium/APT29, kali ini untuk memata-matai kementerian luar negeri dan diplomat dari negara-negara anggota NATO, serta target lain di Uni Eropa dan Afrika. .

Waktunya juga pas dengan serentetan serangan terhadap infrastruktur Kanada, yang juga diyakini terkait dengan Rusia.

Layanan Kontra Intelijen Militer Polandia dan tim CERT di Polandia mengeluarkan peringatan pada 13 April, bersama dengan indikator kompromi, memperingatkan target potensial dari kampanye spionase tentang ancaman tersebut. nobelium, sebagai grup yang ditunjuk oleh Microsoft, juga bernama APT29 oleh Mandiant, bukanlah hal baru dalam permainan spionase negara-bangsa, kelompok itu berada di belakang yang terkenal Serangan rantai pasokan SolarWinds hampir tiga tahun lalu.

Sekarang, APT29 kembali dengan seperangkat alat malware baru dan melaporkan perintah berbaris untuk menyusup ke korps diplomatik negara-negara yang mendukung Ukraina, militer Polandia dan peringatan CERT menjelaskan.

APT29 Kembali Dengan Pesanan Baru

Dalam setiap contoh, ancaman persisten tingkat lanjut (APT) memulai serangannya dengan email spear-phishing yang disusun dengan baik, menurut peringatan Polandia.

“Email yang meniru kedutaan besar negara-negara Eropa dikirim ke personel terpilih di pos diplomatik,” jelas pihak berwenang. "Korespondensi berisi undangan untuk rapat atau untuk bekerja sama dalam dokumen."

Pesan itu kemudian akan mengarahkan penerima untuk mengklik tautan atau mengunduh PDF untuk mengakses kalender duta besar, atau mendapatkan detail pertemuan — keduanya mengirim target ke situs jahat yang dimuat dengan "skrip tanda tangan" kelompok ancaman, yang diidentifikasi oleh laporan sebagai "Pramuka iri."

"Thet menggunakan teknik penyelundupan HTML — di mana file berbahaya yang ditempatkan di halaman didekodekan menggunakan JavaScript saat halaman dibuka dan kemudian diunduh ke perangkat korban,” tambah pihak berwenang Polandia. “Hal ini membuat file berbahaya lebih sulit dideteksi di sisi server tempatnya disimpan.”

Situs jahat itu juga mengirimkan pesan kepada target untuk meyakinkan mereka bahwa mereka mengunduh file yang benar, kata peringatan itu.

“Serangan spear-phishing berhasil ketika komunikasi ditulis dengan baik, menggunakan informasi pribadi untuk menunjukkan keakraban dengan target, dan tampaknya berasal dari sumber yang sah,” Patrick Harr, CEO SlashNext, memberi tahu Dark Reading tentang kampanye tersebut. “Kampanye spionase ini memenuhi semua kriteria untuk sukses.”

Satu email phishing, misalnya, menyamar sebagai kedutaan Polandia, dan, yang menarik, selama kampanye yang diamati, alat Envyscout di-tweak tiga kali dengan perbaikan penyamaran, catat pihak berwenang Polandia.

Setelah disusupi, grup tersebut menggunakan versi modifikasi pengunduh Snowyamber, Halfrig, yang berjalan Cobalt Strike sebagai kode tertanam, dan Quarterrig, yang berbagi kode dengan Halfrig, kata lansiran Polandia.

“Kami melihat peningkatan serangan ini di mana aktor jahat menggunakan beberapa tahapan dalam kampanye untuk menyesuaikan dan meningkatkan kesuksesan,” tambah Harr. “Mereka menggunakan teknik otomatisasi dan pembelajaran mesin untuk mengidentifikasi apa yang menghindari deteksi dan memodifikasi serangan berikutnya untuk meningkatkan keberhasilan.”
Pemerintah, diplomat, organisasi internasional, dan organisasi non-pemerintah (LSM) harus waspada terhadap hal ini, dan upaya spionase Rusia lainnya, menurut otoritas keamanan siber Polandia.

“Layanan Kontra Intelijen Militer dan CERT.PL sangat merekomendasikan agar semua entitas yang mungkin berada dalam area kepentingan aktor menerapkan perubahan konfigurasi untuk mengganggu mekanisme pengiriman yang digunakan dalam kampanye yang dijelaskan,” kata para pejabat.

Serangan Terkait Rusia di Infrastruktur Kanada

Selain peringatan dari pejabat keamanan siber Polandia, selama seminggu terakhir, Perdana Menteri Kanada Justin Trudeau membuat pernyataan publik tentang serentetan serangan baru-baru ini. Serangan siber terkait Rusia ditujukan untuk infrastruktur Kanada, termasuk Penolakan serangan layanan pada Hidro-Québec, utilitas listrik, situs web untuk kantor Trudeau, Port of Quebec, dan Laurentian Bank. Trudeau mengatakan serangan siber terkait dengan dukungan Kanada terhadap Ukraina.

"Beberapa serangan denial-of-service di situs web pemerintah, melumpuhkannya selama beberapa jam, tidak akan membuat kami memikirkan kembali sikap tegas kami untuk melakukan apa pun selama diperlukan untuk mendukung Ukraina,” kata Trudeau. , menurut laporan.

Bos Pusat Keamanan Siber Kanada, Sami Khoury, mengatakan pada konferensi pers minggu lalu bahwa meskipun tidak ada kerusakan yang terjadi pada infrastruktur Kanada, "ancamannya nyata". akses ke warga Kanada, memberikan perawatan kesehatan, atau secara umum mengoperasikan salah satu layanan yang tidak dapat dilakukan warga Kanada, Anda harus melindungi sistem Anda,” kata Khoury. “Pantau jaringan Anda. Terapkan mitigasi.”

Upaya Kejahatan Siber Rusia Terus Berkembang

Saat invasi Rusia ke Ukraina memasuki tahun kedua, Mike Parkin dengan Vulcan Cyber ​​mengatakan kampanye baru-baru ini seharusnya tidak mengejutkan.

“Komunitas keamanan dunia maya telah mengamati dampak dan kerusakan tambahan dari konflik di Ukraina sejak dimulai, dan kami mengetahui aktor ancaman Rusia dan pro-Rusia aktif melawan target Barat,” kata Parkin. “Mempertimbangkan tingkat aktivitas penjahat dunia maya yang telah kami tangani, [ini] hanyalah beberapa alat dan target baru — dan pengingat untuk memastikan pertahanan kami mutakhir dan terkonfigurasi dengan benar.”

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• Platoblockchain. Intelijen Metaverse Web3. Pengetahuan Diperkuat. Akses Di Sini.
• Mencetak Masa Depan bersama Adryenn Ashley. Akses Di Sini.
• Sumber: https://www.darkreading.com/vulnerabilities-threats/russian-intel-services-behind-barrage-espionage-cyberattacks