Francja ostrzega przed rosyjskimi cyberprzestępcami winnymi m.in. ataku na SolarWinds

ANSSI nie podało szczegółów dotyczących tego, w jaki sposób cyberprzestępcy z gangu Nobelium pozyskali dostęp do kont poczty elektronicznej, które wykorzystywali w swoich dalszych działaniach. Przedstawiciele urzędu poinformowali jednak, że maile były dla sprawców pierwszym krokiem - to właśnie z przejętych kont rozsyłana była złośliwa korespondencja, której adresaci przeważnie stanowią kadrę instytucji zagranicznej administracji. 

Tym samym sposobem przypuszczono atak na francuskie urzędy i inne podmioty - trafiały do nich maile wysyłane z kont zagranicznych instytucji, przesyłane w ramach kampanii realizowanej przez grupę cyberprzestępczą Nobelium. 

Z jakiej infrastruktury korzysta Nobelium?

Według ANSSI, Nobelium do swoich działań wykorzystuje przede wszystkim wirtualne sieci prywatne VPN dostarczane przez różnych usługodawców - najchętniej jednak te oferowane przez OVH. Firma ta utrzymuje swoje serwery blisko krajów, które znalazły się na celowniku rosyjskich cyberprzestępców. 

Według specjalistów, w technikach i taktykach wykorzystywanych przez grupę atakującą francuskie organizacje, widać podobieństwa do cyberataku na SolarWinds z 2020 roku. 

Agencja zarekomendowała ograniczenie przyjmowania załączników do korespondencji e-mail, bo to właśnie one są złośliwym elementem wykorzystywanym przez Nobelium do swoich działań.

Kim są cyberprzestępcy działający w ramach gangu Nobelium?

Nobelium to grupa znana również jako Cozy Bear, The Dukes czy APT29. Grupa stanowi część cyberdywizji rosyjskich służb wywiadu zagranicznego, a na swoim koncie ma nie tylko spektakularny w skutkach cyberatak na SolarWinds, który doprowadził do naruszenia bezpieczeństwa w wielu urzędach federalnych USA i nie tylko, ale też inne ataki na podmioty administracji rządowej wielu państw. 

W kwietniu tego roku rząd USA formalnie oskarżył rosyjską służbę wywiadu zagranicznego o kontrolowanie i zlecenie cyberataku na SolarWinds, który był według administracji Bidena częścią szerszej operacji cyberszpiegowskiej.

W maju z kolei firma Microsoft poinformowała, że Nobelium realizuje dużą kampanię phishingową, której celem są agencje rządowe 24 krajów na całym świecie. Również dzięki doniesieniom zespołu bezpieczeństwa Microsoftu wiemy, że Nobelium cały czas zajmuje się atakowaniem globalnych łańcuchów dostaw IT, uderzając przede wszystkim w podmioty dostarczające usługi chmury obliczeniowej. Od maja tego roku sukcesem zakończyło się co najmniej 14 prób włamania do ich struktur.

Według Microsoftu, Nobelium to najbardziej aktywna rosyjska grupa cyberprzestępcza w okresie od lipca 2020 roku do czerwca 2021 roku. Gang odpowiada za 92 proc. skoordynowanych cyberataków na klientów tej spółki płynących z Rosji.

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.