APT russo 'Cadet Blizzard' por trás dos ataques de limpadores na Ucrânia

Um ator de ameaça que desempenhou um papel fundamental na preparação para a invasão russa da Ucrânia foi identificado em 14 de junho. A atividade da ameaça persistente avançada (APT) “Cadet Blizzard” atingiu o pico de janeiro a junho do ano passado, ajudando a preparar o caminho para invasão militar.

A Microsoft detalhou a atividade em um post de blog. As ações mais notáveis ​​da APT foram uma campanha para desfigurar sites do governo ucraniano e um limpador conhecido como “WhisperGate” que foi projetado para tornar os sistemas de computador completamente inoperantes.

Esses ataques “prefaciaram múltiplas ondas de ataques da Seashell Blizzard” – outro grupo russo – “isso aconteceu quando os militares russos iniciaram sua ofensiva terrestre um mês depois”, explicou a Microsoft.

A Microsoft conectou o Cadet Blizzard com a agência de inteligência militar da Rússia, a GRU.

Identificar a APT é um passo no combate ao cibercrime patrocinado pelo Estado russo, diz Timothy Morris, consultor-chefe de segurança da Tanium, “no entanto, é sempre mais importante focar nos comportamentos e táticas, técnicas e procedimentos (TTPs) e não apenas sobre quem está atacando.”

Comportamentos e TTPs do Cadete Blizzard

Geralmente, o Cadet Blizzard obtém acesso inicial aos alvos através de vulnerabilidades comumente conhecidas em servidores Web voltados para a Internet, como Microsoft Exchange e Confluência Atlassiana. Depois de comprometer uma rede, ele se move lateralmente, coletando credenciais e aumentando privilégios, e usando shells da Web para estabelecer persistência antes de roubar dados organizacionais confidenciais ou implantar malware extirpativo.

O grupo não discrimina seus objetivos finais, visando “perturbação, destruição e coleta de informações, usando todos os meios disponíveis e às vezes agindo de forma aleatória”, explicou a Microsoft.

Mas, em vez de ser um pau para toda obra, Cadete é mais como um mestre de ninguém. “O que talvez seja mais interessante sobre esse ator”, escreveu a Microsoft sobre o APT, “é sua taxa de sucesso relativamente baixa em comparação com outros atores afiliados ao GRU, como Seashell Blizzard [Iridium, Sandworm] e Forrest Blizzard (APT28, Fancy Bear, Sofacy, Estrôncio].

Por exemplo, em comparação com ataques de limpador atribuídos à Seashell Blizzard, o WhisperGate do Cadet “afetou uma ordem de magnitude menos sistemas e causou um impacto comparativamente modesto, apesar de ter sido treinado para destruir as redes de seus oponentes na Ucrânia”, explicou a Microsoft. “As operações cibernéticas mais recentes da Cadet Blizzard, embora ocasionalmente bem-sucedidas, também não conseguiram atingir o impacto daquelas conduzidas pelos seus homólogos do GRU.”

Considerando tudo isto, não é surpresa que os hackers também “pareçam operar com um grau de segurança operacional inferior ao de grupos russos avançados e de longa data”, concluiu a Microsoft.

O que esperar do Cadet Blizzard APT

Embora centradas em assuntos relacionados à Ucrânia, as operações da Cadet Blizzard não são particularmente focadas.

Além de implantar seu limpador de assinaturas e desfigurar sites do governo, o grupo também opera um fórum de hack-and-leak chamado “Civil Livre”. Fora da Ucrânia, atacou alvos noutros locais da Europa, da Ásia Central e até da América Latina. E, além de agências governamentais, visava frequentemente prestadores de serviços de TI e fabricantes de cadeias de fornecimento de software, bem como ONG, serviços de emergência e autoridades policiais.

Mas embora possam ter uma operação mais complicada em certos aspectos, Sherrod DeGrippo, diretor de estratégia de inteligência de ameaças da Microsoft, alerta que Cadet Blizzard ainda é um APT temível.

“Seu objetivo é a destruição, então as organizações precisam estar igualmente preocupadas com eles, como fariam com outros atores, e tomar medidas proativas, como ativar proteções na nuvem, revisar a atividade de autenticação e habilitando a autenticação multifator (MFA) para se proteger contra eles”, diz ela.

Por sua vez, Morris recomenda que as organizações “comecem com o básico: autenticação forte – MFA,

Chaves FIDO quando necessário — implementar o princípio do menor privilégio; remendo, remendo, remendo; garantir que seus controles e ferramentas de segurança estejam presentes e funcionando; e treinar os usuários com frequência.”

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• EVM Finanças. Interface unificada para finanças descentralizadas. Acesse aqui.
• Grupo de Mídia Quântica. IR/PR Amplificado. Acesse aqui.
• PlatoAiStream. Inteligência de Dados Web3. Conhecimento Amplificado. Acesse aqui.
• Fonte: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks