Ukraińskie wojsko. Operacja Rosji w SZU

Specjaliści Recorded Future we współpracy z zespołem reagowania na incydenty Ukrainy (CERT-UA) wykryli kampanię wymierzoną w podmioty z tego kraju. Celem były m.in. instytucje rządowe oraz wojskowe odpowiedzialne za infrastrukturę lotniczą. Państwowa Służba Łączności Specjalnej i Ochrony Informacji Ukrainy (SSSCIP) mówi o ponad 40 organizacjach.  

Działania miały charakter spear phishingu i pokrywają się z aktywnością grupy APT-28 (Fancy Bear). W środowisku eksperckim wskazuje się na jej związki z rosyjskim GRU. 

Luki w oprogramowaniu

W analizie kampanii

•  czytamy, że atakujący rozsyłali maile dotyczące inwazji, aby skłonić odbiorców do otworzenia złośliwej wiadomości. Dzięki temu zyskiwali możliwość włamania się do narzędzia Roundcube (oprogramowanie typu open source do obsługi e-mail), wykorzystując luki CVE-2020-35730, CVE-2020-12641 i CVE-2021-44026. To pozwalało hakerom na m.in. wykradanie danych (kontaktów, plików cookie itp.) i przekierowywanie przychodzących maili.

CERT-UA zwraca uwagę, że kampanię umożliwiło korzystanie z przestarzałej wersji Roundcube przez podmioty będące celem. 

Wsparcie rosyjskich ataków

Według specjalistów Recorded Future hakerzy prawdopodobnie mają za zadanie stworzenie możliwości gromadzenia danych wywiadowczych z myślą o wsparciu rosyjskich ataków na Ukrainę. Najpewniej grupa nadal będzie prowadziła operacje wymierzone w ukraiński rząd oraz podmioty prywatne. 

Fancy Bear - hakerzy Putina

Przypomnijmy, że Fancy Bear to jedna z najpopularniejszych grup hakerskich Putina. Jego przedstawiciele prowadzą regularne cyberoperacje na całym świecie. Wśród celów można wskazać administrację, instytucje i organizacje z takich państw jak np. USA, Niemcy, Włochy, Łotwa, Estonia, Polska czy Ukraina (zwłaszcza w ostatnim czasie).  

W 2018 r. Departament Sprawiedliwości Stanów Zjednoczonych ujawnił akt oskarżenia przeciwko 12 funkcjonariuszom GRU. Chodziło o włamanie na serwery Partii Demokratycznej i próbę ingerencji w wybory prezydenckie w 2016 r. W dokumentacji sądowej wymieniono hakerów m.in. Fancy Bear.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].