Precyzyjne cyberataki na Ukrainę. „Kradzież strategicznych informacji”

Specjaliści Mandiant we wrześniu 2022 r. wykryli wrogą aktywność powiązanej z Rosją grupy Turla (estońskie władze powiązały ją z FSB), która polegała na dystrybucji złośliwego oprogramowania KOPILUWAK i backdoora QUIETCANARY. Celem były ukraińskie podmioty zainfekowane wcześniej wirusem ANDROMEDA (np. grudzień 2021 r. – infekcja jednej z ukraińskich organizacji za pomocą pen drive'a).

Rekonesans

W raporcie ekspertów wskazano, że kampania rozpoczęła się 6 września od infekcji urządzeń ofiar oprogramowaniem KOPILUWAK. To narzędzie przeznaczone do rozpoznania, bazujące na języku JavaScript. Służy do np. profilowania celu i zwykle jest zamieszczane jako załącznik w e-mailu w pierwszym etapie cyberataku. 

W opisywanej operacji KOPILUWAK również posłużył do „profilowania >>pierwszego etapu<<”. Za jego pomocą atakujący przeprowadzili „rekonesans” sieci ofiary. 

Kradzież danych

Dwa dni później (tj. 8 września) hakerzy pobrali QUIETCANARY. To backdoor, który jest wykorzystywany przez Turlę do gromadzenia i eksfiltracji danych. 

W omawianym przypadku – zdaniem Mandiant – atakujący wykradali najprawdopodobniej jedynie pliki utworzone po 1 stycznia 2021 r. 

Informacje o strategicznym znaczeniu

„To pierwsza analiza Mandiant pokazująca, że Turla atakuje ukraińskie podmioty od początku inwazji” – czytamy w raporcie. Opisywana kampania wydaje się być zgodna z działaniami grupy, zwłaszcza jeśli chodzi o planowanie i rekonesans w celu uzyskania dostępu do systemów ofiar. 

„W tym przypadku obszerne profilowanie od stycznia prawdopodobnie pozwoliło grupie wybrać konkretne systemy i dostosować swoje dalsze działania, których celem jest gromadzenie i kradzież informacji o strategicznym znaczeniu” – wskazują specjaliści w raporcie.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu.Piszcie do nas na: [email protected].