Az APT28 két NATO-tagállam védelmi és hatósági szervezeteit támadta a Symantec szerint
Egy e-mailhez csatolt Word-dokumentum megnyitásával kezdődött a behatolás egy hadihajógyártónál. A Symantec szerint az eset egy európai kémkedési művelet része volt, amelyet az orosz katonai hírszerzéshez, a GRU-hoz kötött APT28 csoport hajtott végre.
Hadihajógyártó és repülőgéphajtómű-gyártó is célpont lett
A kutatók két európai NATO-tagállamban azonosítottak áldozatokat: egy hadihajókat építő vállalatot, egy katonai repülőgépekhez hajtóműveket gyártó céget és egy rendvédelmi szervet. Az országokat és az érintett szervezeteket nem nevezték meg, így magyarországi érintettségről a beszámoló alapján nem lehet állítani semmit.
A Symantec a célpontok kiválasztásából arra következtetett, hogy az akció egy szélesebb, európai kormányzati és védelmi szervezetekre irányuló orosz hírszerzési művelethez tartozott. Dick O’Brien, a vállalat elemzője szerint valószínűleg védelmi információkat akartak megszerezni, de az érzékeny adatok ellopását nem tudták igazolni.
A Word-melléklet után a belső hálózatot térképezték fel
A hadihajógyártónál júliusban nyitotta meg egy dolgozó a levélben kapott rosszindulatú Microsoft Word-dokumentumot. A behatolók ezután feltérképezték a vállalat belső hálózatát, és bejelentkezési adatok megszerzésével próbálkoztak.
A műveletben a Hookedge nevű kártevőt használták hozzáférés szerzésére, hitelesítő adatok ellopására és hálózati információk gyűjtésére. Ezt augusztusban dokumentálta először a Recorded Future Insikt Group kutatócsapata.
A következő héten az elkövetők többször visszatértek a kompromittált számítógéphez. Egy korábban nem dokumentált eszközt is telepítettek, amely közvetlenül a memóriában fejtett vissza és futtatott rosszindulatú kódot. Ennek végső célját a vizsgálat nem tisztázta.
Két hónapot fog át az idővonal, de a folyamatos hozzáférés nem bizonyított
Az első igazolt fertőzés július 24-én történt, kapcsolódó rosszindulatú tevékenységet pedig még szeptember 24-én is észleltek. A művelet tehát legalább két hónapot ölelt fel. A kutatók ugyanakkor nem tudták megállapítani, hogy ezalatt végig fennmaradt-e a hozzáférés.
O’Brien szerint egyes hálózatokban néhány hétig jelen voltak a támadók, ami lehetőséget adhatott adatgyűjtésre. A szeptemberi aktivitásból az elemző arra következtetett, hogy a kémkedési kampány folytatódik.
A katonai logisztika szereplőit korábban is célba vették
Az APT28 Fancy Bear, BlueDelta és Forest Blizzard néven is ismert. Több mint egy évtizede folytat kiberkémkedést európai és észak-amerikai katonai, kormányzati és védelmi szervezetek ellen.
Nyugati kiberbiztonsági szervek többször figyelmeztettek a csoport védelmi és katonai logisztikai célpontok elleni tevékenységére, különösen az Ukrajnát segítő szereplőknél. Tavaly több mint 20 nyugati hírszerző és kiberbiztonsági szervezet közös figyelmeztetésben vádolta meg azzal, hogy az Ukrajnába irányuló külföldi segítség célba juttatásában részt vevő logisztikai és technológiai cégeket támadja.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum