APT ของรัสเซีย 'Cadet Blizzard' เบื้องหลังการโจมตีของยูเครน Wiper

ตัวแสดงภัยคุกคามที่มีบทบาทสำคัญในการเป็นผู้นำในการรุกรานยูเครนของรัสเซียถูกระบุตัวเมื่อวันที่ 14 มิถุนายน กิจกรรมจากภัยคุกคามขั้นสูงแบบถาวร (APT) “Cadet Blizzard” พุ่งสูงสุดตั้งแต่เดือนมกราคมถึงเดือนมิถุนายนของปีที่แล้ว ซึ่งช่วยปูทาง สำหรับการรุกรานของทหาร

Microsoft ให้รายละเอียดกิจกรรมใน โพสต์บล็อก. การกระทำที่โดดเด่นที่สุดของ APT คือการรณรงค์ทำลายเว็บไซต์ของรัฐบาลยูเครน และ ที่ปัดน้ำฝนที่เรียกว่า “WhisperGate” ที่ถูกออกแบบเพื่อทำให้ระบบคอมพิวเตอร์ใช้งานไม่ได้โดยสิ้นเชิง

การโจมตีเหล่านี้ “นำหน้าการโจมตีหลายครั้งโดย Seashell Blizzard” — รัสเซียอีกกลุ่มหนึ่ง “นั่นตามมาเมื่อกองทัพรัสเซียเริ่มการโจมตีภาคพื้นดินในอีกหนึ่งเดือนต่อมา” ไมโครซอฟต์อธิบาย

Microsoft เชื่อมต่อ Cadet Blizzard กับ GRU ซึ่งเป็นหน่วยข่าวกรองทางทหารของรัสเซีย

การระบุ APT เป็นก้าวหนึ่งในการต่อสู้กับอาชญากรรมในโลกไซเบอร์ที่ได้รับการสนับสนุนจากรัสเซีย Timothy Morris หัวหน้าที่ปรึกษาด้านความปลอดภัยของ Tanium กล่าว “อย่างไรก็ตาม การมุ่งเน้นไปที่พฤติกรรมและยุทธวิธี เทคนิค และขั้นตอนต่างๆ (TTP) เป็นสิ่งสำคัญมากกว่าเสมอ และไม่ใช่แค่เพียง ว่าใครเป็นคนโจมตี”

พฤติกรรมและ TTP ของ Cadet Blizzard

โดยทั่วไป Cadet Blizzard จะสามารถเข้าถึงเป้าหมายผ่านช่องโหว่ที่รู้จักทั่วไปในเว็บเซิร์ฟเวอร์ที่เชื่อมต่อกับอินเทอร์เน็ต เช่น แลกเปลี่ยนไมโครซอฟท์ และ Atlassian Confluenceian. หลังจากประนีประนอมเครือข่ายแล้ว เครือข่ายจะย้ายไปด้านข้าง เก็บเกี่ยวข้อมูลประจำตัวและเพิ่มสิทธิพิเศษ และใช้ Web Shells เพื่อสร้างความคงอยู่ก่อนที่จะขโมยข้อมูลองค์กรที่ละเอียดอ่อนหรือปรับใช้มัลแวร์ที่ทำลายล้าง

กลุ่มนี้ไม่ได้เลือกปฏิบัติในเป้าหมายสุดท้าย โดยมีเป้าหมายเพื่อ "การหยุดชะงัก การทำลายล้าง และการรวบรวมข้อมูล โดยใช้วิธีใดก็ตามที่มีอยู่ และบางครั้งก็ดำเนินการในลักษณะจับจด" Microsoft อธิบาย

แต่แทนที่จะเป็นผู้เชี่ยวชาญในทุกด้าน นักเรียนนายร้อยกลับเป็นเหมือนผู้เชี่ยวชาญที่ไม่มีใครเลย “สิ่งที่น่าสนใจที่สุดเกี่ยวกับนักแสดงคนนี้” Microsoft เขียนถึง APT “ก็คืออัตราความสำเร็จที่ค่อนข้างต่ำเมื่อเทียบกับนักแสดงในเครือ GRU อื่นๆ เช่น Seashell Blizzard [Iridium, Sandworm] และ Forrest Blizzard (APT28, แฟนซีแบร์, โซฟาซี, สตรอนเซียม].”

เช่น เปรียบเทียบกับ การโจมตีที่ปัดน้ำฝนประกอบกับ Seashell BlizzardWhisperGate ของ Cadet “ส่งผลกระทบต่อระบบที่มีขนาดน้อยลงและให้ผลกระทบที่ค่อนข้างปานกลาง แม้ว่าจะได้รับการฝึกฝนให้ทำลายเครือข่ายของฝ่ายตรงข้ามในยูเครนก็ตาม” Microsoft อธิบาย “การปฏิบัติการทางไซเบอร์ของ Cadet Blizzard เมื่อเร็ว ๆ นี้ แม้ว่าจะประสบความสำเร็จในบางครั้ง แต่ก็ล้มเหลวในการบรรลุผลเช่นเดียวกันที่ดำเนินการโดยหน่วยงาน GRU”

เมื่อพิจารณาทั้งหมดนี้แล้ว จึงไม่น่าแปลกใจเลยที่แฮกเกอร์ “ดูเหมือนจะทำงานโดยมีระดับความปลอดภัยในการปฏิบัติงานที่ต่ำกว่ากลุ่มรัสเซียที่มีมายาวนานและก้าวหน้า” Microsoft พบ

สิ่งที่คาดหวังจาก Cadet Blizzard APT

แม้ว่าจะเน้นไปที่เรื่องที่เกี่ยวข้องกับยูเครน แต่การปฏิบัติงานของ Cadet Blizzard ไม่ได้เน้นเป็นพิเศษ

นอกเหนือจากการใช้ระบบปัดน้ำฝนลายเซ็นและทำลายเว็บไซต์ของรัฐบาลแล้ว กลุ่มนี้ยังดำเนินการฟอรัมแฮ็กและรั่วที่เรียกว่า "พลเรือนอิสระ" นอกเหนือจากยูเครน ยังได้โจมตีเป้าหมายอื่นๆ ในยุโรป เอเชียกลาง และแม้แต่ละตินอเมริกา นอกจากหน่วยงานภาครัฐแล้ว ยังมักกำหนดเป้าหมายไปที่ผู้ให้บริการด้านไอทีและผู้ผลิตห่วงโซ่อุปทานซอฟต์แวร์ รวมถึงองค์กรพัฒนาเอกชน บริการฉุกเฉิน และการบังคับใช้กฎหมาย

แต่ในขณะที่พวกเขาอาจมีการดำเนินการที่เลอะเทอะในบางวิธี Sherrod DeGrippo ผู้อำนวยการฝ่ายกลยุทธ์ข่าวกรองภัยคุกคามที่ Microsoft เตือนว่า Cadet Blizzard ยังคงเป็น APT ที่น่ากลัว

“เป้าหมายของพวกเขาคือการทำลายล้าง ดังนั้นองค์กรต่างๆ จึงต้องกังวลเกี่ยวกับพวกเขาอย่างแน่นอน เช่นเดียวกับที่พวกเขากังวลกับนักแสดงคนอื่นๆ และใช้มาตรการเชิงรุก เช่น การเปิดใช้งานการป้องกันบนคลาวด์ การตรวจสอบกิจกรรมการรับรองความถูกต้อง และ การเปิดใช้งานการรับรองความถูกต้องแบบหลายปัจจัย (MFA) เพื่อป้องกันพวกเขา” เธอกล่าว

ในส่วนของเขา มอร์ริสแนะนำให้องค์กร “เริ่มต้นด้วยพื้นฐาน: การรับรองความถูกต้องที่รัดกุม — MFA,

คีย์ FIDO เมื่อจำเป็น - ใช้หลักการสิทธิพิเศษน้อยที่สุด ปะ, ปะ, ปะ; ตรวจสอบให้แน่ใจว่าการควบคุมความปลอดภัยและเครื่องมือของคุณมีอยู่และใช้งานได้ และฝึกอบรมผู้ใช้บ่อยครั้ง”

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• การเงิน EVM ส่วนต่อประสานแบบครบวงจรสำหรับการเงินแบบกระจายอำนาจ เข้าถึงได้ที่นี่.
• กลุ่มสื่อควอนตัม IR/PR ขยาย เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. ข้อมูลอัจฉริยะ Web3 ขยายความรู้ เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks