אשמים רוסים SolarWinds משיקים מטח חדש של התקפות סייבר בריגול

כחלק מהפלישה המתמשכת שלו לאוקראינה, המודיעין הרוסי נעזר שוב בשירותי קבוצת ההאקרים Nobelium/APT29, הפעם כדי לרגל אחרי משרדי חוץ ודיפלומטים ממדינות החברות בנאט"ו, כמו גם מטרות אחרות באיחוד האירופי ובאפריקה. .

העיתוי גם משתלב עם שלל התקפות על תשתיות קנדיות, שלדעתן קשורות גם לרוסיה.

שירות המודיעין הצבאי הצבאי הפולני וצוות ה-CERT בפולין פרסמו התראה ב-13 באפריל, יחד עם אינדיקטורים של פשרה, והזהירו יעדים פוטנציאליים של מסע הריגול מפני האיום. נובליום, כפי שהקבוצה מסומנת על ידי מיקרוסופט, נקראת גם APT29 מאת Mandiant, אינו חדש במשחק הריגול של מדינת הלאום, הקבוצה עמדה מאחורי הידוע לשמצה התקפת שרשרת האספקה ​​של SolarWinds לפני כמעט שלוש שנים.

כעת, APT29 חוזר עם סט חדש לגמרי של כלים תוכנות זדוניות ודיווח על צווי צעדה לחדור לחיל הדיפלומטי של מדינות התומכות באוקראינה, כך הסבירו הצבא הפולני והתראת CERT.

APT29 חוזר עם הזמנות חדשות

בכל מקרה, האיום המתמשך המתקדם (APT) מתחיל את התקפתו באימייל דיוג חנית מתוכנן היטב, על פי ההתראה הפולנית.

"אימיילים שהתחזו לשגרירויות של מדינות אירופה נשלחו לצוות נבחר בעמדות דיפלומטיות", הסבירו הרשויות. "ההתכתבות הכילה הזמנה לפגישה או לעבוד יחד על מסמכים".

לאחר מכן, ההודעה תנחה את הנמען ללחוץ על קישור או להוריד קובץ PDF כדי לגשת ללוח השנה של השגריר, או לקבל פרטי פגישה - שניהם שולחים את המטרות לאתר זדוני הטעון ב"סקריפט החתימה" של קבוצת האיומים, שהדוח מזהה כ "קנאי סקאוט."

"אניt משתמש בטכניקת הברחת HTML - לפיה קובץ זדוני המוצב בדף מפוענח באמצעות JavaScript כאשר הדף נפתח ולאחר מכן הורדה למכשיר של הקורבן", הוסיפו הרשויות הפולניות. "זה מקשה יותר על זיהוי הקובץ הזדוני בצד השרת שבו הוא מאוחסן."

האתר הזדוני גם שולח ליעדים הודעה המבטיחה להם שהם הורידו את הקובץ הנכון, נאמר בהתראה.

"התקפות דיוג בחנית מצליחות כשהתקשורת כתובה היטב, משתמשות במידע אישי כדי להפגין היכרות עם המטרה, ונראה כאילו מגיעות ממקור לגיטימי", אומר פטריק האר, מנכ"ל SlashNext, ל-Dark Reading על הקמפיין. "קמפיין הריגול הזה עומד בכל הקריטריונים להצלחה".

אחת דוא"ל התחזות, למשל, התחזה לשגרירות פולין, ובאופן מעניין, במהלך הקמפיין שנצפה, הכלי Envyscout הותאם שלוש פעמים עם שיפורים בערפול, ציינו השלטונות הפולניים.

לאחר פשרה, הקבוצה משתמשת בגרסאות משוונות של הורדת Snowyamber, Halfrig, הפועלת שבית קובלט כקוד מוטבע, ו-Quarterrig, שחולקת קוד עם Halfrig, נאמר בהתראה הפולנית.

"אנחנו רואים עלייה בהתקפות האלה שבהן השחקן הרע משתמש במספר שלבים בקמפיין כדי להתאים ולשפר את ההצלחה", מוסיף הר. "הם משתמשים בטכניקות אוטומציה ולמידת מכונה כדי לזהות מה מתחמק מזיהוי ולשנות התקפות עוקבות כדי לשפר את ההצלחה."
ממשלות, דיפלומטים, ארגונים בינלאומיים וארגונים לא ממשלתיים (NGOs) צריכים להיות בכוננות גבוהה עבור זה, ומאמצי ריגול רוסיים אחרים, על פי רשויות אבטחת סייבר פולניות.

"שירות המודיעין הצבאי וה-CERT.PL ממליצים בחום לכל הגופים שעשויים להיות בתחום העניין של השחקן ליישם שינויי תצורה כדי לשבש את מנגנון המסירה ששימש בקמפיין המתואר", אמרו גורמים רשמיים.

התקפות מקושרות לרוסיה על התשתית של קנדה

מלבד אזהרות של גורמי אבטחת סייבר פולנים, במהלך השבוע האחרון, ראש ממשלת קנדה ג'סטין טרודו פרסם הצהרות פומביות על מבול לאחרונה של התקפות סייבר הקשורות לרוסיה מכוונים לתשתית קנדית, כולל התקפות מניעת שירות על הידרו-קוויבק, חברת חשמל, האתר של משרדו של טרודו, הנמל של קוויבק, ו בנק לורנטיאן. טרודו אמר כי מתקפות הסייבר קשורות לתמיכת קנדה באוקראינה.

"כמה מתקפות של מניעת שירות על אתרי אינטרנט ממשלתיים, שהפילו אותם לכמה שעות, לא יגרמו לנו לחשוב מחדש על עמדתנו החד משמעית לעשות כל מה שנדרש כל עוד נדרש כדי לתמוך באוקראינה", אמר טרודו. , על פי דיווחים.

ראש המרכז הקנדי לאבטחת סייבר, סמי חורי, אמר במסיבת עיתונאים בשבוע שעבר שאמנם לא נגרם נזק לתשתית של קנדה, "האיום הוא אמיתי." "אם אתה מפעיל את המערכות הקריטיות שמניעות את הקהילות שלנו, הציעו אינטרנט גישה לקנדים, לספק שירותי בריאות, או להפעיל בדרך כלל כל אחד מהשירותים שהקנדים לא יכולים בלעדיהם, אתה חייב להגן על המערכות שלך", אמר חורי. "עקוב אחר הרשתות שלך. להחיל אמצעי הקלה".

מאמצי פשעי הסייבר של רוסיה משתוללים

בעוד הפלישה של רוסיה לאוקראינה נמשכת בשנתה השנייה, מייק פרקין עם וולקן סייבר אומר שהקמפיינים האחרונים בקושי צריכים להפתיע.

"קהילת אבטחת הסייבר צופה בנשורת ובנזק הנלווה מהסכסוך באוקראינה מאז שהחל, וידענו ששחקני איום רוסים ופרו-רוסים היו פעילים נגד מטרות מערביות". פרקין אומר. "בהתחשב ברמות הפעילות של פושעי סייבר שכבר התמודדנו איתם, [אלה] רק כמה כלים חדשים ויעדים חדשים - ותזכורת לוודא שההגנה שלנו מעודכנת ומוגדרת כראוי".

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• Platoblockchain. Web3 Metaverse Intelligence. ידע מוגבר. גישה כאן.
• הטבעת העתיד עם אדריאן אשלי. גישה כאן.
• מקור: https://www.darkreading.com/vulnerabilities-threats/russian-intel-services-behind-barrage-espionage-cyberattacks