우크라이나 와이퍼 공격 배후에 있는 러시아 APT 'Cadet Blizzard'

러시아의 우크라이나 침공에 핵심적인 역할을 한 위협 행위자가 14월 XNUMX일에 확인되었습니다. "Cadet Blizzard" APT(지능형 지속 위협)의 활동은 지난해 XNUMX월부터 XNUMX월까지 정점을 이루며 길을 닦는 데 도움이 되었습니다. 군사 침공을 위해.

Microsoft는 다음 활동을 자세히 설명했습니다. 블로그 게시물. APT의 행동 중 가장 주목할만한 것은 우크라이나 정부 웹사이트를 훼손하려는 캠페인이었습니다. "WhisperGate"로 알려진 와이퍼 컴퓨터 시스템이 완전히 작동하지 않도록 설계되었습니다.

이러한 공격은 "Seashell Blizzard의 여러 공격을 시작했습니다" — 또 다른 러시아 그룹 — "한 달 후 러시아군이 지상 공격을 시작했을 때 이어졌습니다"라고 Microsoft는 설명했습니다.

Microsoft는 Cadet Blizzard를 러시아 군사 정보 기관인 GRU와 연결했습니다.

Tanium의 수석 보안 고문인 Timothy Morris는 APT를 식별하는 것이 러시아 정부가 후원하는 사이버 범죄에 맞서기 위한 한 단계라고 말했습니다. "그러나 항상 행동과 전술, 기술 및 절차(TTP)에 초점을 맞추는 것이 더 중요합니다. 누가 공격하고 있는지.”

생도 블리자드의 행동 및 TTP

일반적으로 Cadet Blizzard는 다음과 같은 인터넷 연결 웹 서버의 일반적으로 알려진 취약점을 통해 대상에 대한 초기 액세스 권한을 얻습니다. 의 Microsoft Exchange 및 아틀라시안 합류. 네트워크를 손상시킨 후 측면으로 이동하여 자격 증명을 수집하고 권한을 상승시키며 민감한 조직 데이터를 훔치거나 근절적인 악성 코드를 배포하기 전에 웹 셸을 사용하여 지속성을 구축합니다.

이 그룹은 최종 목표에 있어서 차별을 두지 않고 “가용한 모든 수단을 사용하고 때로는 무모한 방식으로 행동하는 혼란, 파괴 및 정보 수집”을 목표로 한다고 Microsoft는 설명했습니다.

그러나 Cadet은 모든 분야에 능통하기보다는 아무 분야에도 능하지 못한 사람입니다. Microsoft는 APT에 대해 "아마도 이 행위자에 대해 가장 흥미로운 점은 Seashell Blizzard [Iridium, Sandworm] 및 포레스트 블리자드(APT28, 팬시 베어, 소파시, 스트론튬)]. "

예를 들어, Seashell Blizzard로 인한 와이퍼 공격, Cadet의 WhisperGate는 "우크라이나에 있는 상대방의 네트워크를 파괴하도록 훈련받았음에도 불구하고 훨씬 더 적은 수의 시스템에 영향을 미치고 비교적 적은 영향을 미쳤습니다"라고 Microsoft는 설명했습니다. "최근 Cadet Blizzard 사이버 작전은 가끔 성공하기도 했지만 마찬가지로 GRU 대응팀이 수행한 작전만큼의 영향을 미치지 못했습니다."

이 모든 것을 고려해 볼 때, 해커들이 "오래되고 발전된 러시아 그룹보다 낮은 수준의 운영 보안을 가지고 활동하는 것으로 보인다"는 것도 놀라운 일이 아니라고 Microsoft는 밝혔습니다.

Cadet Blizzard APT에서 기대할 수 있는 것

Cadet Blizzard의 운영은 우크라이나 관련 문제에 중점을 두고 있지만 특별히 중점을 두고 있지는 않습니다.

이 그룹은 시그니처 와이퍼를 배포하고 정부 웹사이트를 훼손하는 것 외에도 "Free Civilian"이라는 해킹 및 유출 포럼도 운영하고 있습니다. 우크라이나 이외의 지역에서는 유럽, 중앙아시아, 심지어 라틴 아메리카의 다른 곳도 목표물을 공격했습니다. 정부 기관 외에도 IT 서비스 제공업체, 소프트웨어 공급망 제조업체, NGO, 응급 서비스, 법 집행 기관을 표적으로 삼는 경우가 많았습니다.

그러나 Microsoft의 위협 인텔리전스 전략 이사인 Sherrod DeGrippo는 Cadet Blizzard가 여전히 무시무시한 APT라고 경고합니다.

“그들의 목표는 파괴이므로 조직은 다른 행위자와 마찬가지로 그들에 대해 똑같이 걱정해야 하며 클라우드 보호 켜기, 인증 활동 검토 및 다단계 인증(MFA) 활성화 그들로부터 보호하기 위해서죠.”라고 그녀는 말합니다.

Morris는 조직이 "기본부터 시작해야 합니다: 강력한 인증 — MFA,

필요한 경우 FIDO 키 — 최소 권한 원칙을 구현합니다. 패치, 패치, 패치; 보안 제어 및 도구가 존재하고 작동하는지 확인합니다. 사용자를 자주 교육합니다.”

• SEO 기반 콘텐츠 및 PR 배포. 오늘 증폭하십시오.
• EVM 금융. 탈중앙화 금융을 위한 통합 인터페이스. 여기에서 액세스하십시오.
• 퀀텀미디어그룹. IR/PR 증폭. 여기에서 액세스하십시오.
• PlatoAiStream. Web3 데이터 인텔리전스. 지식 증폭. 여기에서 액세스하십시오.
• 출처: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks