APT Nga 'Cadet Blizzard' đằng sau các cuộc tấn công Wiper ở Ukraine

Một tác nhân đe dọa đóng vai trò quan trọng dẫn đến cuộc xâm lược Ukraine của Nga đã được xác định vào ngày 14 tháng XNUMX. Hoạt động từ mối đe dọa dai dẳng nâng cao (APT) “Cadet Blizzard” đạt đỉnh điểm từ tháng XNUMX đến tháng XNUMX năm ngoái, giúp mở đường cho cuộc xâm lược quân sự.

Microsoft trình bày chi tiết hoạt động trong một bài đăng blog. Đáng chú ý nhất trong số các hành động của APT là chiến dịch phá hủy các trang web của chính phủ Ukraine và một cái gạt nước được gọi là "WhisperGate" được thiết kế để làm cho hệ thống máy tính hoàn toàn không thể hoạt động được.

Những cuộc tấn công này “mở đầu cho nhiều đợt tấn công của Seashell Blizzard” - một nhóm người Nga khác - “Điều đó diễn ra sau đó khi quân đội Nga bắt đầu cuộc tấn công trên bộ một tháng sau đó,” Microsoft giải thích.

Microsoft đã kết nối Cadet Blizzard với cơ quan tình báo quân sự Nga, GRU.

Timothy Morris, cố vấn an ninh trưởng tại Tanium cho biết, việc xác định APT là một bước tiến tới việc chống lại tội phạm mạng do nhà nước Nga bảo trợ, “tuy nhiên, điều quan trọng hơn là phải tập trung vào các hành vi và chiến thuật, kỹ thuật và quy trình (TTP) chứ không chỉ vào ai đang thực hiện cuộc tấn công.”

Hành vi & TTP của Cadet Blizzard

Nói chung, Cadet Blizzard giành được quyền truy cập ban đầu vào các mục tiêu thông qua các lỗ hổng thường được biết đến trong các máy chủ Web truy cập Internet như Microsoft Exchange và Hợp lưu Atlassian. Sau khi xâm phạm mạng, nó di chuyển theo chiều ngang, thu thập thông tin xác thực và leo thang đặc quyền, đồng thời sử dụng Web shell để thiết lập tính bền vững trước khi đánh cắp dữ liệu nhạy cảm của tổ chức hoặc triển khai phần mềm độc hại có tính độc hại.

Microsoft giải thích rằng nhóm này không phân biệt đối xử trong các mục tiêu cuối cùng của mình, nhằm mục đích “làm gián đoạn, phá hủy và thu thập thông tin, sử dụng bất kỳ phương tiện nào có sẵn và đôi khi hành động một cách lộn xộn”.

Nhưng thay vì là người giỏi trong mọi ngành nghề, Cadet lại giống như không biết gì cả. “Điều có lẽ thú vị nhất về diễn viên này,” Microsoft viết về APT, “là tỷ lệ thành công tương đối thấp so với các diễn viên liên kết với GRU khác như Seashell Blizzard [Iridium, Sandworm] và Forrest Blizzard (APT28, Fancy Bear, Sofacy, Strontium]. ”

Ví dụ, so với các cuộc tấn công gạt nước do Seashell Blizzard gây raMicrosoft giải thích: WhisperGate của Cadet “ảnh hưởng đến ít hệ thống hơn và mang lại tác động tương đối khiêm tốn, mặc dù đã được huấn luyện để phá hủy mạng của đối thủ ở Ukraine”. “Các hoạt động mạng gần đây hơn của Cadet Blizzard, mặc dù đôi khi thành công, nhưng cũng không đạt được tác động tương tự như các hoạt động do đối tác GRU thực hiện.”

Sau tất cả những điều này, không có gì ngạc nhiên khi các tin tặc cũng “dường như hoạt động với mức độ bảo mật hoạt động thấp hơn so với các nhóm lâu đời và tiên tiến của Nga”, Microsoft nhận thấy.

Những gì mong đợi từ Cadet Blizzard APT

Mặc dù tập trung vào các vấn đề liên quan đến Ukraine, hoạt động của Cadet Blizzard không đặc biệt tập trung.

Bên cạnh việc triển khai tính năng xóa chữ ký và xóa giao diện các trang web của chính phủ, nhóm này còn vận hành một diễn đàn hack và rò rỉ có tên là “Dân sự tự do”. Bên ngoài Ukraine, nó đã tấn công các mục tiêu ở châu Âu, Trung Á và thậm chí cả châu Mỹ Latinh. Và bên cạnh các cơ quan chính phủ, nó thường nhắm mục tiêu vào các nhà cung cấp dịch vụ CNTT và nhà sản xuất chuỗi cung ứng phần mềm, cũng như các tổ chức phi chính phủ, dịch vụ khẩn cấp và cơ quan thực thi pháp luật.

Nhưng mặc dù chúng có thể hoạt động lộn xộn hơn theo một số cách nhất định, Sherrod DeGrippo, giám đốc chiến lược tình báo mối đe dọa tại Microsoft, cảnh báo rằng Cadet Blizzard vẫn là một APT đáng sợ.

“Mục tiêu của chúng là hủy diệt, vì vậy các tổ chức nhất thiết phải lo lắng về chúng như các tác nhân khác và thực hiện các biện pháp chủ động như bật tính năng bảo vệ đám mây, xem xét hoạt động xác thực và cho phép xác thực đa yếu tố (MFA) để bảo vệ chống lại chúng,” cô nói.

Về phần mình, Morris khuyến nghị các tổ chức “hãy bắt đầu với những điều cơ bản: xác thực mạnh mẽ — MFA,

Phím FIDO khi cần thiết - thực hiện nguyên tắc đặc quyền tối thiểu; vá, vá, vá; đảm bảo các công cụ và biện pháp kiểm soát bảo mật của bạn luôn sẵn sàng và hoạt động; và đào tạo người dùng thường xuyên.”

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• EVM tài chính. Giao diện hợp nhất cho tài chính phi tập trung. Truy cập Tại đây.
• Tập đoàn truyền thông lượng tử. Khuếch đại IR/PR. Truy cập Tại đây.
• PlatoAiStream. Thông minh dữ liệu Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• nguồn: https://www.darkreading.com/threat-intelligence/russian-apt-cadet-blizzard-ukraine-wiper-attacks