Ryska underrättelsetjänsten riktar in sig på offer över hela världen i cyberattacker med snabba bränder

Ryska underrättelsetjänsten riktar in sig på offer över hela världen i cyberattacker med snabba bränder

Tidsstämpel: 20 mars 2024 7:04

Ryska statliga hackare utför riktade nätfiskekampanjer i minst nio länder fördelade på fyra kontinenter. Deras e-postmeddelanden talar om officiella statliga affärer och, om de lyckas, hotar de inte bara känsliga organisationsdata, utan också geopolitisk intelligens av strategisk betydelse.

En sådan sofistikerad, mångsidig intrig kunde bara skapas av en grupp så produktiv som Fancy Bear (alias APT28, Forest Blizzard, Frozenlake, Sofacy Group, Strontium, UAC-028 och många fler alias fortfarande), som IBM X-Force spårar som ITG05 i en ny rapport.

Förutom de övertygande betenen med regeringstema och tre nya varianter av anpassade bakdörrar, sticker kampanjen ut mest för den information den riktar sig till: Fancy Bear verkar sikta på mycket specifik information till nytta för den ryska regeringen.

Regeringen nätfiske lockar

Fancy Bear har använt minst 11 unika beten i kampanjer riktade mot organisationer i Argentina, Ukraina, Georgien, Vitryssland, Kazakstan, Polen, Armenien, Azerbajdzjan och USA.

Locken ser ut som officiella dokument förknippade med internationella regeringar, som täcker teman så breda som finans, kritisk infrastruktur, verkställande engagemang, cybersäkerhet, sjösäkerhet, hälsovård och försvarsindustriell produktion.

Vissa av dessa är legitima, allmänt tillgängliga dokument. Andra, intressant nog, verkar vara interna för specifika statliga myndigheter, vilket väcker frågan om hur Fancy Bear fick tag på dem i första hand.

"X-Force har inte insikt i huruvida ITG05 framgångsrikt har äventyrat de efterliknade organisationerna", konstaterar Claire Zaboeva, hotjagare för IBM X-Force. "Eftersom det är möjligt att ITG05 utnyttjade obehörig åtkomst för att samla in interna dokument, har vi meddelat alla imiterade parter om aktiviteten före publicering som en del av vår policy för ansvarsfullt avslöjande."

Alternativt kan Fancy Bear/ITGO5 bara ha imiterat riktiga filer. "Till exempel innehåller några av de avslöjade dokumenten märkbara fel som att felstava namnen på huvudparterna i vad som verkar vara officiella regeringskontrakt", sa hon.

Ett potentiellt motiv?

En annan viktig egenskap hos dessa beten är att de är ganska specifika.

Exempel på engelska inkluderar ett policydokument om cybersäkerhet från en georgisk icke-statlig organisation och en resplan för januari som beskriver 2024 års mötes- och övningsklockboj (XBB24) för deltagare i den amerikanska flottans arbetsgrupp för sjöfart i Stilla havet (PACIOSWG).

Och det finns lockbeten med finanstema: ett vitryskt dokument med rekommendationer för att skapa kommersiella villkor för att underlätta mellanstatliga företagande senast 2025, i linje med ett initiativ från Eurasian Economic Union, ett budgetpolitiskt dokument från det argentinska ekonomiministeriet som erbjuder "strategiska riktlinjer" för att hjälpa president med nationell ekonomisk politik och mer i denna linje.

"Det är troligt att insamlingen av känslig information angående budgetproblem och globala enheters säkerhetsställning är ett högprioriterat mål med tanke på ITG05:s etablerade uppdragsutrymme", sa X-Force i sin rapport om kampanjen.

Argentina, till exempel, avvisade nyligen en inbjudan att gå med i handelsorganisationen BRICS (Brasilien, Ryssland, Indien, Kina, Sydafrika), så "det är möjligt att ITG05 försöker få tillgång som kan ge insikt i den argentinska regeringens prioriteringar ", sa X-Force.

Aktivitet efter exploatering

Förutom specificitet och ett sken av legitimitet använder angriparna ytterligare ett psykologiskt knep för att snärja offren: att först presentera dem med en suddig version av dokumentet. Som i bilden nedan kan mottagarna se precis tillräckligt med detaljer för att se att dessa dokument verkar officiella och viktiga, men inte tillräckligt för att undvika att behöva klicka på dem.

Rysk underrättelsetjänst riktar sig mot offer världen över i snabba cyberattacker PlatoBlockchain Data Intelligence. Vertikal sökning. Ai.

Prov dragdokument; Källa: IBM

När offer på angriparkontrollerade webbplatser klickar för att se lockbetsdokumenten laddar de ner en Python-bakdörr som heter "Masepie". Den upptäcktes först i december och kan etablera beständighet i en Windows-maskin, och möjliggöra nedladdning och uppladdning av filer och godtycklig kommandoexekvering.

En av filerna som Masepie laddar ner till infekterade maskiner är "Oceanmap", ett C#-baserat verktyg för kommandoexekvering via Internet Message Access Protocol (IMAP). Oceanmaps ursprungliga variant – inte den som används här – hade informationsstöldfunktion som sedan har tagits bort och överförts till "Steelhook", den andra Masepie-nedladdade nyttolasten som är kopplad till denna kampanj.

Steelhook är ett PowerShell-skript vars jobb är att exfiltrera data från Google Chrome och Microsoft Edge via en webhook.

Mer anmärkningsvärt än dess skadliga program är Fancy Bears omedelbara handling. Som först beskrivna av Ukrainas Computer Emergency Response Team (CERT-UA), Fancy Bear-infektioner med den första timmen efter landning på en offermaskin, ladda ner bakdörrar och genomför spaning och sidorörelse via stulna NTLMv2-hashar för reläattacker.

Så potentiella offer måste agera snabbt eller ännu bättre, förbereda sig i förväg för sina infektioner. De kan göra det genom att följa IBM:s tvättlista med rekommendationer: övervakning av e-postmeddelanden med URL:er som serveras av Fancy Bears värdleverantör, FirstCloudIT, och misstänkt IMAP-trafik till okända servrar, för att åtgärda dess gynnade sårbarheter – såsom CVE-2024-21413, CVE-2024 -21410, CVE-2023-23397, CVE-2023-35636 – och mycket mer.

"ITG05 kommer att fortsätta att utnyttja attacker mot världens regeringar och deras politiska apparat för att ge Ryssland avancerad insikt i framväxande politiska beslut", avslutade forskarna.

Tidsstämpel:

Mer från Mörk läsning