ウクライナワイパー攻撃の背後にロシアのAPT「カデットブリザード」

ロシアのウクライナ侵攻に至るまでに重要な役割を果たした脅威アクターが14月XNUMX日に特定された。「カデット・ブリザード」高度持続的脅威（APT）の活動は昨年XNUMX月からXNUMX月にピークに達し、道を開くのに役立った軍事侵略のため。

Microsoft は活動の詳細を次のように述べています。 ブログ投稿。 APT の行動の中で最も注目に値したのは、ウクライナ政府の Web サイトを改ざんするキャンペーンでした。 「ウィスパーゲート」と呼ばれるワイパー コンピューターシステムを完全に動作不能にするように設計されたものです。

これらの攻撃は「Seashell Blizzardによる複数の攻撃の波に先立って」行われました。 別のロシアのグループ ――「XNUMXか月後にロシア軍が地上攻撃を開始したときのことだ」とマイクロソフトは説明した。

マイクロソフトは、Cadet Blizzardをロシアの軍事諜報機関であるGRUと結びつけました。

タニウム社の首席セキュリティ顧問ティモシー・モリス氏は、APTの特定はロシア国家主導のサイバー犯罪との戦いに向けた一歩であると述べている。誰が攻撃しているのか。」

Cadet Blizzardの行動とTTP

一般に、Cadet Blizzard は、インターネットに接続されている Web サーバーの一般的に知られている脆弱性を通じて、ターゲットへの最初のアクセスを取得します。 Microsoft Exchangeの および アトラシアン合流点。 ネットワークに侵入すると、横方向に移動し、認証情報を収集して権限を昇格し、Web シェルを使用して永続性を確立してから、機密の組織データを盗んだり、駆除的なマルウェアを展開したりします。

このグループは最終目標において差別をしておらず、「利用可能なあらゆる手段を使用し、時には無計画な方法で行動する、混乱、破壊、情報収集」を目的としているとマイクロソフトは説明した。

しかし、カデットは何でも屋というよりも、どちらかというと何事も得意ではない人です。 「この攻撃者についておそらく最も興味深いのは」と Microsoft は APT について書いています。「Seashell Blizzard [Iridium、Sandworm] や フォレストブリザード (APT28、ファンシーベア、ソファシー、ストロンチウム)]。 "

たとえば、と比較すると、 Seashell Blizzardによるワイパー攻撃, CadetのWhisperGateは「ウクライナで敵のネットワークを破壊するように訓練されていたにもかかわらず、影響を受けるシステムは桁違いに少なく、影響は比較的控えめだった」とMicrosoftは説明した。 「最近のカデット・ブリザードのサイバー作戦は、時には成功することもあったが、同様に、GRUの対応者が実施した作戦ほどの影響力を達成することはできなかった。」

これらすべてを考慮すると、ハッカーたちが「長年の先進的なロシアのグループよりも低いレベルの運用セキュリティで活動しているようだ」とマイクロソフトは発見したのも不思議ではない。

Cadet Blizzard APT に期待できること

カデット・ブリザードの作戦はウクライナ関連問題が中心ではあるが、特に焦点を当てているわけではない。

このグループは、特徴的なワイパーを配備し、政府の Web サイトを改ざんすることに加えて、「Free Civilian」と呼ばれるハッキングと漏洩のフォーラムも運営しています。 ウクライナ以外では、ヨーロッパ、中央アジア、さらにはラテンアメリカの他の地域の標的も攻撃している。 また、政府機関以外にも、IT サービス プロバイダーやソフトウェア サプライ チェーン メーカー、NGO、緊急サービス、法執行機関も標的にされることがよくありました。

しかし、ある意味でより厄介な操作をしているかもしれないが、Microsoft の脅威インテリジェンス戦略ディレクターである Sherrod DeGrippo 氏は、Cadet Blizzard は依然として恐ろしい APT であると警告しています。

「彼らの目標は破壊であるため、組織は他の攻撃者と同様に彼らについても懸念し、クラウド保護をオンにしたり、認証アクティビティを見直したり、 多要素認証 (MFA) を有効にする それらから身を守るためです」と彼女は言います。

モリス氏は、組織が「基本である強力な認証、MFA、

必要に応じて FIDO キー — 最小特権の原則を実装する。 パッチ、パッチ、パッチ。 セキュリティ制御とツールが存在し、機能していることを確認します。 ユーザーを頻繁にトレーニングします。」

• SEO を活用したコンテンツと PR 配信。 今日増幅されます。
• EVMファイナンス。 分散型金融のための統一インターフェイス。 こちらからアクセスしてください。
• クォンタムメディアグループ。 IR/PR増幅。 こちらからアクセスしてください。
• プラトアイストリーム。 Web3 データ インテリジェンス。 知識増幅。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks