Proislamscy haktywiści z „Anonimowego Sudanu” prawdopodobnie są frontem rosyjskiej operacji Killnet

Pozornie proislamska grupa, która w ciągu ostatnich kilku miesięcy uderzyła w liczne cele w Europie za pomocą rozproszonych ataków typu „odmowa usługi” (DDoS), może w rzeczywistości być podgrupą Rosyjski kolektyw haktywistów znany jako Killnet.

Grupa, która nazywa siebie „Anonimowym Sudanem”, przyznała się do niedawnych ataków DDoS na cele we Francji, Niemczech, Holandii i Szwecji. Wszystkie ataki najwyraźniej były odwetem za domniemaną działalność antyislamską w każdym z tych krajów. Na przykład ataki na szwedzki rząd i podmioty biznesowe nastąpiły po incydencie palenia Koranu w Sztokholmie. Ten sam lub podobny powód stał się przyczyną ataków DDoS na holenderskie agencje rządowe oraz ataku na Air France, gdzie ugrupowanie — zrywając z charakterem — ukradło dane ze strony internetowej linii lotniczej, zamiast je atakować.

Anonimowe linki Killnet Sudanu

Naukowcy z Trustwave, którzy śledzą Anonymous Sudan od kilku miesięcy, w tym tygodniu stwierdzili, że istnieją pewne dowody sugerujące, że grupa jest przykrywką dla Killnet. W raporcie, Trustwave powiedział, że jego badacze nie byli w stanie potwierdzić, czy Anonymous Sudan faktycznie ma siedzibę w Sudanie lub czy którykolwiek z jego członków pochodzi z tego kraju. Posty grupy na Telegramie są w języku rosyjskim i angielskim, a inne dane telemetryczne zamiast tego wskazują, że przynajmniej niektórzy z jej członków pochodzą z Europy Wschodniej.

Podobnie jak w przypadku Killnet, wszystkie cele Anonymous Sudan znajdowały się w krajach, które sprzeciwiały się rosyjskiej inwazji na Ukrainę i/lub pomagały jej w jakiś sposób. Najnowsza groźba — z 24 marca — ataku na cele w Australii pasuje do tych samych schematów, podobnie jak atak DDoS na izraelskiego dostawcę cyberbezpieczeństwa Radware.

Podobnie jak Killnet, Anonymous Sudan wykorzystywał głównie ataki DDoS w celu wysłania wiadomości do zamierzonych celów. Zarówno Killnet, jak i Anonymous Sudan zgłosiły roszczenia do swoich kanałów Telegram, które oficjalnie łączą się ze sobą. Na przykład w styczniu Anonymous Sudan twierdził, że pomagał Killnetowi w ataku DDoS na niemiecką Federalną Służbę Wywiadowczą, powiedział Trustwave.

Zdaniem naukowców Trustwave, dlaczego Anonymous Sudan miałoby określać się mianem grupy proislamskiej, a nie prorosyjskiej, sprzymierzonej z Killnet – lub być może częścią – pozostaje niejasne. „Anonimowy Sudan był niezwykle aktywny, przypisując sobie zasługi za ataki za pośrednictwem swojego kanału Telegram, ale szczegóły dotyczące prawdziwego uzasadnienia tych wysiłków pozostają niejasne”.

Hałaśliwy kolektyw haktywistów

Killnet sam w sobie jest hałaśliwą grupą haktywistów, która w miesiącach od inwazji Rosji na Ukrainę twierdził, że trafił, liczne organizacje na całym świecie w atakach DDoS. Grupa opisała te ataki jako odwet za kierowane przez Stany Zjednoczone wsparcie dla Ukrainy w wojnie – i rzeczywiście, wszystkie jej ofiary były w krajach, które zjednoczyły się za Ukrainą. Większość dotychczasowych ataków dotyczyła organizacji w Europie. Ale w lutym wystartował Killnet Ataki DDoS na ponad tuzin głównych szpitali w USA, w tym Stanford Health, Michigan Medicine, Duke Health i Cedar-Sinai. Grupa wystartowała w październiku ubiegłego roku Ataki DDoS na wiele lotnisk w USA, w tym międzynarodowe lotnisko Los Angeles (LAX), Chicago O'Hare i międzynarodowe lotnisko Hartsfield-Jackson Atlanta.

Killnet reklamował te ataki jako poważne incydenty. Jednak eksperci ds. bezpieczeństwa i same organizacje będące ofiarami scharakteryzowały tę grupę jako zagrożenie o średniej wadze w najgorszym przypadku, którego jednak nie można zignorować. Na przykład po atakach Killnet na szpitale w USA Amerykańskie Stowarzyszenie Zdrowia (AHA) określiło ataki Killnet jako zazwyczaj nie powodujące dużych szkód, ale czasami mogące zakłócić usługi na kilka dni.

Badacz bezpieczeństwa Trustwave SpiderLabs, Jeannette Dickens-Hale, charakteryzuje zagrożenie, jakie Anonymous Sudan przedstawia w ten sam sposób. 

„Na podstawie niedawnych ataków DDoS Anonymous Sudan, ich powiązań i podobieństw w technikach taktycznych i procedurach (TTP) do Killnet, wydaje się, że grupa ma niski lub średni poziom wyrafinowania” – mówi. „Killnet, podobnie jak Anonymous Sudan, przeprowadza głównie ataki DDoS i grozi wyłudzeniem danych, które mogą mieć lub nie”. 

Trustwave SpiderLabs ocenia, że ​​Killnet ma ten sam poziom zagrożenia. Niedawny atak Anonymous Sudan na Air France i groźba sprzedaży jego danych – które może mieć lub nie – może wskazywać na eskalację motywacji i rodzaju ataku, mówi Dickens-Hale.

Premiera „Czarnych umiejętności” Killnet

Nieustanne próby Killnet, aby zdobyć poparcie dla swoich wysiłków — głównie poprzez przesadne twierdzenia o swoich sukcesach — to kolejna rzecz, na którą zwracają uwagę badacze. Na przykład Flashpoint w tym tygodniu doniósł, że obserwował lidera Killnet „Killmilk” ogłaszającego stworzenie prywatnej wojskowej organizacji hakerskiej o nazwie „Czarne umiejętności”.

Dostawca zabezpieczeń ocenił, że opis Black Skills przez Killmilk był próbą pozycjonowania Killnet jako cybernetycznego odpowiednika rosyjskiej operacji najemników Grupy Wagnera. Wcześniej w marcu Killnet ogłosił również ofertę DDoS jako usługi o nazwie „Czarna lista”, którą Flashpoint postrzegał jako kolejną próbę kolektywu wyrzeźbienia dla siebie bardziej formalnej tożsamości. 

„Czarne umiejętności/Czarne listy wydają się być próbą Killnet, aby ustanowić tożsamość korporacyjną” – podsumowali badacze Flashpoint. „Według naszych danych wywiadowczych nowa grupa będzie zorganizowana i ustrukturyzowana, a podgrupy będą zajmować się listą płac, public relations i wsparciem technicznym, testowaniem pióra, a także gromadzeniem danych, analizą, operacjami informacyjnymi i uderzeniami w priorytetowe cele”.

• Dystrybucja treści i PR oparta na SEO. Uzyskaj wzmocnienie już dziś.
• Platoblockchain. Web3 Inteligencja Metaverse. Wzmocniona wiedza. Dostęp tutaj.
• Źródło: https://www.darkreading.com/attacks-breaches/pro-islam-anonymous-sudan-hacktivists-front-russia-killnet-operation