Operacja rosyjskiego wywiadu. Użyto Microsoft Teams

Zespół Microsoft Threat Intelligence wykrył ukierunkowane ataki socjotechniczne, podczas których sprawcy stosowali phishing w celu kradzieży danych uwierzytelniających. Wrogie działania prowadzono w ramach Microsoft Teams.

Specjaliści koncernu wskazują, że za kampanią stoją hakerzy grupy NOBELIUM (znanej powszechnie jako Cozy Bear lub APT29), powiązanej z rosyjskimi służbami wywiadu (SVR).

Kradzież danych

Atakujący podszywali się pod obsługę techniczną i rozsyłali wiadomości phishingowe do ofiar. U odbiorcy pojawiał się komunikat o próbie nawiązania kontaktu z zewnątrz. Po akceptacji hakerzy wysyłali wiadomość, przekonując ofiarę do wprowadzenia określonego kodu do aplikacji Microsoft Authenticator na urządzeniu mobilnym.

Spełnienie wszystkich żądań sprawców sprawiało, że zyskiwali dostęp do konta Microsoft 365 użytkowników będących celem. To z kolei pozwalało im wykradać informacje.

Kto był celem?

Analiza wykazała, że dotkniętych zostało prawie 40 organizacji, które miały wartość wywiadowczą dla powiązanych z Rosją hakerów. Wśród nich są m.in. agencje rządowe i firmy z branży technologicznej.

Microsoft zareagował na wrogie działania. Zablokował kampanię i bada aktywność hakerów. O zdarzeniu poinformował podmioty, których bezpieczeństwo mogło zostać naruszone.

Rosyjski wywiad zdemaskowany

NOBELIUM/Cozy Bear/APT29 to rozpoznawalna grupa hakerska, która słynie z prowadzenia operacji szpiegowskich na rzecz Rosji. Ma realizować zadania Służby Wywiadu Zagranicznego i stać za m.in. głośną na całym świecie kampanią SolarWinds. Celem hakerów są np. podmioty państwowe krajów NATO i UE.

Polscy specjaliści odnieśli sukces, który rozszedł się szerokim echem na poziomie międzynarodowym. Mowa o operacji Służby Kontrwywiadu Wojskowego (SKW) i CERT Polska, w wyniku której ujawniono narzędzia stosowane przez hakerów APT29.

Dlaczego to takie ważne? W rozmowie z naszym portalem gen. bryg. Karol Molenda, Dowódca Komponentu Wojsk Obrony Cyberprzestrzeni, tłumaczył, że zdemaskowanie tego typu narzędzi sprawia, iż stają się one bezużyteczne. Mówimy o tzw. „piramidzie bólu". Więcej w materiale wideo:

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].