Ruski APT 'Cadet Blizzard' stoji za ukrajinskimi napadi Wiper

Dejavnik grožnje, ki je igral ključno vlogo pri pripravi ruske invazije na Ukrajino, je bil identificiran 14. junija. Dejavnost napredne trajne grožnje »Cadet Blizzard« (APT) je dosegla vrhunec od januarja do junija lani, kar je pomagalo utrti pot za vojaško invazijo.

Microsoft je opisal dejavnost v blog post. Najbolj opazna med dejanji APT je bila kampanja za omalovaževanje spletnih mest ukrajinske vlade in brisalec, znan kot "WhisperGate" ki je bil zasnovan za popolno onesposobitev računalniških sistemov.

Ti napadi so bili »pred več valovi napadov Seashell Blizzard« — druga ruska skupina — »ki je sledilo, ko je ruska vojska mesec dni kasneje začela kopensko ofenzivo,« je pojasnil Microsoft.

Microsoft je Cadet Blizzard povezal z rusko vojaško obveščevalno agencijo GRU.

Timothy Morris, glavni varnostni svetovalec pri Taniumu, pravi, da je prepoznavanje APT korak v boju proti kibernetskemu kriminalu, ki ga sponzorira ruska država, »vendar je vedno bolj pomembno, da se osredotočimo na vedenje in taktike, tehnike in postopke (TTP) in ne le na na to, kdo napada."

Vedenja in TTP Cadet Blizzard

Na splošno Cadet Blizzard pridobi začetni dostop do tarč prek splošno znanih ranljivosti v internetnih spletnih strežnikih, kot je microsoft Exchange in Atlasijsko sotočje. Po ogrožanju omrežja se premakne stransko, zbira poverilnice in stopnjuje privilegije ter uporablja spletne lupine za vzpostavitev obstojnosti, preden ukrade občutljive organizacijske podatke ali uvede zlonamerno programsko opremo za iztrebljanje.

Skupina ne dela diskriminacije pri svojih končnih ciljih, saj si prizadeva za "motnje, uničenje in zbiranje informacij z uporabo kakršnih koli razpoložljivih sredstev in včasih deluje naključno", je pojasnil Microsoft.

Toda namesto da bi bil mojster vseh poklicev, je Cadet bolj kot mojster nič. »Kar je morda najbolj zanimivo pri tem igralcu,« je Microsoft zapisal o APT, »je njegova relativno nizka stopnja uspešnosti v primerjavi z drugimi akterji, povezanimi z GRU, kot sta Seashell Blizzard [Iridium, Sandworm] in Forrest Blizzard (APT28, Fancy Bear, Sofacy, Stroncij]. "

Na primer v primerjavi z napadi brisalcev, pripisani Seashell Blizzard, je Cadetov WhisperGate »prizadel red velikosti manj sistemov in dosegel sorazmerno skromen učinek, kljub temu, da je bil usposobljen za uničenje omrežij svojih nasprotnikov v Ukrajini,« je pojasnil Microsoft. "Nedavne kibernetske operacije Cadet Blizzard, čeprav so bile občasno uspešne, prav tako niso uspele doseči učinka tistih, ki so jih izvajali njeni kolegi GRU."

Če upoštevamo vse to, ni presenetljivo, da se zdi, da tudi hekerji "delujejo z nižjo stopnjo operativne varnosti kot dolgoletne in napredne ruske skupine," je ugotovil Microsoft.

Kaj lahko pričakujete od Cadet Blizzard APT

Čeprav so osredotočene na zadeve, povezane z Ukrajino, operacije Cadet Blizzard niso posebej osredotočene.

Poleg uvedbe svojega značilnega brisalca in ponarejanja vladnih spletnih mest skupina upravlja tudi forum za vdore in uhajanje informacij, imenovan »Free Civilian«. Zunaj Ukrajine je napadel tarče drugod po Evropi, Srednji Aziji in celo Latinski Ameriki. Poleg vladnih agencij je pogosto ciljala na ponudnike storitev IT in proizvajalce dobavne verige programske opreme, pa tudi na nevladne organizacije, službe za nujno pomoč in organe pregona.

Toda medtem ko imajo lahko na določene načine bolj neurejeno operacijo, Sherrod DeGrippo, direktor strategije obveščanja o grožnjah pri Microsoftu, opozarja, da je Cadet Blizzard še vedno grozljiv APT.

»Njihov cilj je uničenje, zato morajo biti organizacije popolnoma enako zaskrbljene zanje, kot bi skrbele za druge akterje, in sprejeti proaktivne ukrepe, kot so vklop zaščite v oblaku, pregled dejavnosti preverjanja pristnosti in omogočanje večfaktorske avtentikacije (MFA) za zaščito pred njimi,« pravi.

Morris pa priporoča, da organizacije »začnejo z osnovami: močno avtentikacijo – MFA,

Ključi FIDO, kjer je to potrebno — izvajanje načela najmanjših privilegijev; obliž, obliž, obliž; zagotoviti, da so vaše varnostne kontrole in orodja prisotni in delujejo; in pogosto usposablja uporabnike.«

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• EVM Finance. Poenoten vmesnik za decentralizirane finance. Dostopite tukaj.
• Quantum Media Group. IR/PR ojačan. Dostopite tukaj.
• PlatoAiStream. Podatkovna inteligenca Web3. Razširjeno znanje. Dostopite tukaj.
• vir: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks