Ktoś szpieguje ukraińskich żołnierzy

Ukraiński zespół reagowania na incydenty CERT-UA informuje o wykryciu nowej wrogiej kampanii. Specjaliści znaleźli „szereg zasobów internetowych”, które przypominały oficjalną stronę wojskowej aplikacji „Army+”.

Aplikacja dla żołnierzy

Jak podaje resort obrony, apka powstała z myślą o digitalizacji usług dla przedstawicieli sił zbrojnych i poprawie ich efektywności. Dzięki niej możliwe stało się rozwiązanie problemu nadmiernej biurokracji. Przykładowo, zapewnia funkcję elektronicznego składania raportów dowódcom.

Kradzież poufnych danych

Z analizy CERT-UA wynika, że hakerzy próbują znaleźć skuteczny sposób na infekowanie urządzeń ukraińskich wojskowych.

„W przypadku wejścia na stronę internetową (imitującą oficjalną witrynę Army+ – red.) użytkownikowi wyświetlany jest komunikat z propozycją pobrania pliku” – opisują specjaliści. 

Jego nazwa ulega zmianie, lecz generalnie ma sugerować, że jest to instalator omawianej aplikacji. Może to być np. „ArmyPlusInstalerv.0.10.23722.exe”. 

W praktyce pobranie i uruchomienie pliku prowadzą do instalacji złośliwego oprogramowania, które daje hakerom dostęp do urządzenia. Dzięki temu mogą nie tylko wykradać poufne dane żołnierzy, ale również dokonywać innych operacji. 

Hakerzy rosyjskiego GRU

CERT-UA śledzi aktywność pod identyfikatorem UAC-0125. Nasi sąsiedzi nie dokonali jednoznacznej atrybucji operacji szpiegowskiej. Wskazują jednak, że najpewniej mówimy o hakerach powiązanych z grupą Sandworm (APT44), działającą w ramach rosyjskiego wywiadu wojskowego GRU.

To jedno z najpoważniejszych źródeł zagrożeń płynących z Rosji. Według Mandiant, członkowie APT44 wspierają „wojenne cele Moskwy”, a ich działania wydają się być lepiej zintegrowane z konwencjonalnymi ruchami sił zbrojnych Putina niż w początkowych fazach konfliktu. 

Jeden z najpoważniejszych ataków

Przykładem operacji Sandworm może być atak na Kyivstar, czyli jeden z największych telekomów na Ukrainie. Miało to miejsce w grudniu ubiegłego roku. Efekt? Poważne zakłócenie usług operatora i problemy z łącznością. 

Służba Bezpieczeństwa Ukrainy ustaliła, że zniszczono tysiące serwerów i komputerów telekomu. Jak informowaliśmy, hakerzy GRU mieli być obecni w infrastrukturze firmy od co najmniej maja 2023 r. Nasi wschodni sąsiedzi ocenili, że była to jedna z najpoważniejszych cyberoperacji od początku inwazji Rosji.

Więcej materiałów o operacjach grupy znajdziecie pod linkiem: Sandworm.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].