ผู้ร้าย SolarWinds ของรัสเซียเปิดตัวการโจมตีทางไซเบอร์ของหน่วยสืบราชการลับครั้งใหม่

ในฐานะที่เป็นส่วนหนึ่งของการรุกรานยูเครนอย่างต่อเนื่อง หน่วยข่าวกรองรัสเซียได้ขอความช่วยเหลือจากกลุ่มแฮ็กเกอร์ Nobelium/APT29 อีกครั้ง ครั้งนี้เพื่อสอดแนมกระทรวงต่างประเทศและนักการทูตจากประเทศสมาชิก NATO ตลอดจนเป้าหมายอื่นๆ ในสหภาพยุโรปและแอฟริกา .

ช่วงเวลาดังกล่าวยังสอดประสานกับการโจมตีโครงสร้างพื้นฐานของแคนาดา ซึ่งเชื่อว่าเชื่อมโยงกับรัสเซียด้วย

หน่วยข่าวกรองทางทหารของโปแลนด์และทีม CERT ในโปแลนด์ออกคำเตือนเมื่อวันที่ 13 เมษายน พร้อมกับตัวบ่งชี้การประนีประนอม เตือนเป้าหมายที่เป็นไปได้ของการรณรงค์จารกรรมเกี่ยวกับภัยคุกคาม โนบีเลียมเนื่องจากกลุ่มถูกกำหนดโดย Microsoft จึงตั้งชื่อด้วย APT29 โดย Mandiantไม่ใช่เรื่องใหม่สำหรับเกมจารกรรมของรัฐชาติ กลุ่มนี้อยู่เบื้องหลังเหตุการณ์ที่น่าอับอาย SolarWinds โจมตีห่วงโซ่อุปทาน เกือบสามปีที่แล้ว

ตอนนี้ APT29 กลับมาพร้อมกับเครื่องมือมัลแวร์ชุดใหม่และรายงานคำสั่งเดินขบวนเพื่อแทรกซึมคณะทูตของประเทศที่สนับสนุนยูเครน กองทัพโปแลนด์และการแจ้งเตือน CERT อธิบาย

APT29 กลับมาพร้อมกับคำสั่งซื้อใหม่

ในทุกกรณี ภัยคุกคามแบบถาวรขั้นสูง (APT) เริ่มต้นการโจมตีด้วยอีเมลสเปียร์ฟิชชิ่งที่มีแนวคิดดี ตามการแจ้งเตือนของโปแลนด์

“อีเมลที่ปลอมตัวเป็นสถานทูตของประเทศต่างๆ ในยุโรปถูกส่งไปยังเจ้าหน้าที่ที่ได้รับการคัดเลือกในสถานฑูต” ทางการอธิบาย “จดหมายโต้ตอบมีคำเชิญไปประชุมหรือทำงานร่วมกันเกี่ยวกับเอกสาร”

จากนั้นข้อความจะแนะนำให้ผู้รับคลิกลิงก์หรือดาวน์โหลดไฟล์ PDF เพื่อเข้าถึงปฏิทินของเอกอัครราชทูตหรือรับรายละเอียดการประชุม — ทั้งสองส่งเป้าหมายไปยังไซต์ที่เป็นอันตรายซึ่งเต็มไปด้วย "สคริปต์ลายเซ็น" ของกลุ่มภัยคุกคาม ซึ่งรายงานระบุว่าเป็น “เอ็นวี่สเกาต์”

"ฉันt ใช้เทคนิคการลักลอบใช้ HTML โดยไฟล์ที่เป็นอันตรายที่วางอยู่บนหน้าจะถูกถอดรหัสโดยใช้ JavaScript เมื่อเปิดหน้าและจากนั้นดาวน์โหลดลงในอุปกรณ์ของเหยื่อ” ทางการโปแลนด์กล่าวเสริม “สิ่งนี้ทำให้ไฟล์ที่เป็นอันตรายตรวจจับยากขึ้นในฝั่งเซิร์ฟเวอร์ที่จัดเก็บไฟล์นั้น”

ไซต์ที่เป็นอันตรายยังส่งข้อความถึงเป้าหมายเพื่อให้มั่นใจว่าพวกเขาดาวน์โหลดไฟล์ที่ถูกต้อง การแจ้งเตือนดังกล่าว

“การโจมตีด้วยสเปียร์ฟิชชิ่งจะประสบความสำเร็จเมื่อการสื่อสารเขียนอย่างดี ใช้ข้อมูลส่วนบุคคลเพื่อแสดงความคุ้นเคยกับเป้าหมาย และดูเหมือนว่ามาจากแหล่งที่มาที่ถูกต้อง” Patrick Harr ซีอีโอของ SlashNext กล่าวกับ Dark Reading เกี่ยวกับแคมเปญนี้ “แคมเปญจารกรรมนี้ตรงตามเกณฑ์ทั้งหมดสำหรับความสำเร็จ”

หนึ่ง อีเมลฟิชชิงตัวอย่างเช่น ปลอมตัวเป็นสถานทูตโปแลนด์ และที่น่าสนใจคือ ตลอดช่วงของการรณรงค์ที่สังเกตได้ เครื่องมือ Envyscout ได้รับการปรับแต่งถึง XNUMX ครั้งโดยมีการปรับปรุงที่ทำให้งงงวย ทางการโปแลนด์ระบุ

เมื่อถูกโจมตี กลุ่มจะใช้โปรแกรมดาวน์โหลด Snowyamber เวอร์ชันดัดแปลง Halfrig ซึ่งทำงาน โคบอลต์สไตรค์ เป็นรหัสฝังตัวและ Quarterrig ซึ่งแบ่งปันรหัสกับ Halfrig การแจ้งเตือนของโปแลนด์กล่าว

“เราเห็นการโจมตีเหล่านี้เพิ่มมากขึ้น ซึ่งนักแสดงที่ไม่ดีใช้หลายขั้นตอนในการรณรงค์เพื่อปรับเปลี่ยนและปรับปรุงความสำเร็จ” Harr กล่าวเสริม “พวกเขาใช้เทคนิคอัตโนมัติและการเรียนรู้ของเครื่องเพื่อระบุสิ่งที่หลบเลี่ยงการตรวจจับและแก้ไขการโจมตีที่ตามมาเพื่อปรับปรุงความสำเร็จ”
รัฐบาล นักการทูต องค์กรระหว่างประเทศ และองค์กรพัฒนาเอกชน (NGOs) ควรตื่นตัวอย่างสูงสำหรับสิ่งนี้และความพยายามในการจารกรรมอื่นๆ ของรัสเซีย ตามการระบุของหน่วยงานความมั่นคงทางไซเบอร์ของโปแลนด์

“หน่วยข่าวกรองทางทหารและ CERT.PL ขอแนะนำอย่างยิ่งให้ทุกหน่วยงานที่อาจอยู่ในความสนใจของนักแสดงดำเนินการเปลี่ยนแปลงการกำหนดค่าเพื่อขัดขวางกลไกการส่งมอบที่ใช้ในการรณรงค์ที่อธิบายไว้” เจ้าหน้าที่กล่าว

การโจมตีที่เชื่อมโยงกับรัสเซียในโครงสร้างพื้นฐานของแคนาดา

นอกจากคำเตือนจากเจ้าหน้าที่ความมั่นคงทางไซเบอร์ของโปแลนด์แล้ว ในช่วงสัปดาห์ที่ผ่านมา จัสติน ทรูโด นายกรัฐมนตรีของแคนาดาได้ออกแถลงการณ์ต่อสาธารณะเกี่ยวกับการแพร่ระบาดของ การโจมตีทางไซเบอร์ที่เชื่อมโยงกับรัสเซีย มุ่งเป้าไปที่โครงสร้างพื้นฐานของแคนาดารวมถึง การโจมตีแบบปฏิเสธการให้บริการ บนไฮโดร-ควิเบก, สาธารณูปโภคด้านไฟฟ้า, เว็บไซต์สำนักงานของ Trudeau, ท่าเรือ ควิเบกและ ธนาคารลอเรนเทียน Trudeau กล่าวว่าการโจมตีทางไซเบอร์เกี่ยวข้องกับการสนับสนุนยูเครนของแคนาดา

"การโจมตีแบบปฏิเสธการให้บริการ XNUMX-XNUMX ครั้งบนเว็บไซต์ของรัฐบาล ซึ่งทำให้เว็บไซต์หยุดทำงานเป็นเวลา XNUMX-XNUMX ชั่วโมง จะไม่ทำให้เราต้องคิดใหม่ถึงท่าทีที่ชัดเจนในการทำทุกวิถีทางตราบใดที่ยังสนับสนุนยูเครน” ทรูโดกล่าว , ตามรายงานของ.

Sami Khoury หัวหน้าศูนย์ความปลอดภัยทางไซเบอร์ของแคนาดากล่าวในการแถลงข่าวเมื่อสัปดาห์ที่แล้วว่าแม้โครงสร้างพื้นฐานของแคนาดาจะไม่ได้รับความเสียหาย แต่ “ภัยคุกคามนั้นมีอยู่จริง” หากคุณใช้ระบบสำคัญที่ขับเคลื่อนชุมชนของเรา ให้เสนออินเทอร์เน็ต เข้าถึงชาวแคนาดา ดูแลสุขภาพ หรือให้บริการใด ๆ ที่ชาวแคนาดาไม่สามารถทำได้โดยทั่วไป คุณต้องปกป้องระบบของคุณ” Khoury กล่าว “ตรวจสอบเครือข่ายของคุณ ใช้การบรรเทาผลกระทบ”

ความพยายามในการก่ออาชญากรรมทางไซเบอร์ของรัสเซียยังคงดำเนินต่อไป

ขณะที่การรุกรานยูเครนของรัสเซียยืดเยื้อเข้าสู่ปีที่สอง Mike Parkin จาก Vulcan Cyber ​​กล่าวว่าแคมเปญล่าสุดไม่น่าจะเป็นเรื่องที่น่าแปลกใจ

“ชุมชนความปลอดภัยทางไซเบอร์เฝ้าดูผลกระทบและความเสียหายจากความขัดแย้งในยูเครนตั้งแต่เริ่มต้น และเราทราบดีว่านักคุกคามชาวรัสเซียและโปรรัสเซียกำลังโจมตีเป้าหมายตะวันตก” พาร์กินกล่าวว่า “เมื่อพิจารณาถึงระดับกิจกรรมของอาชญากรไซเบอร์ที่เราเผชิญอยู่แล้ว [สิ่งเหล่านี้เป็นเพียง] เครื่องมือใหม่และเป้าหมายใหม่ — และเป็นเครื่องเตือนใจเพื่อให้แน่ใจว่าการป้องกันของเราทันสมัยและกำหนดค่าอย่างเหมาะสม”

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• การสร้างอนาคตโดย Adryenn Ashley เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/vulnerabilities-threats/russian-intel-services-behind-barrage-espionage-cyberattacks