Analiza rosyjskich hacków na Ukrainie i w Polsce odkrywa nowe złośliwe oprogramowanie

Badacze odkryli nową operację cybernetyczną skierowaną przeciwko systemom ukraińskim i polskim, przypisywaną rosyjskiej kontrolowanej przez państwo grupie hakerów o nazwie Fancy Bear.

Podczas grudniowych ataków rosyjscy hakerzy wysyłali do ofiar e-maile phishingowe zawierające złośliwe załączniki. Po otwarciu załączniki te infekują docelowe urządzenia nowatorskim złośliwym oprogramowaniem Masepie Oświadczenie Z Zespołu Reagowania na Kryzysy Komputerowe Ukrainy (CERT-UA).

Naukowcy twierdzą, że szkodliwe oprogramowanie napisane w języku programowania Python może przesyłać pliki i wykonywać polecenia. W niedawnej kampanii hakerzy wykorzystali go do przesłania kradnącego dane szkodliwego oprogramowania o nazwie Steelhook, którego celem są przeglądarki internetowe, oraz backdoora o nazwie Oceanmap, który wykorzystuje oprogramowanie pocztowe.

Po wstępnym kompromisie hakerzy integrują z systemem narzędzia typu open source, takie jak Impacket i Smbexec, w celu szpiegowania. Narzędzia te są powszechnie używane do zrozumienia i wykorzystania luk w zabezpieczeniach sieci podczas testów penetracyjnych i hakowania protokołów. Mogą jednak zostać wykorzystane przez hakerów do złośliwych celów.

Celem hakerów w tej kampanii nie jest zainfekowanie tylko jednego komputera, ale rozszerzenie ataku na całą sieć tego systemu – twierdzą badacze.

Na Ukrainie wśród ofiar grupy znalazły się anonimowe agencje rządowe. Polska Agencja Cyberprzestrzeni nie odpowiedziała na prośbę o komentarz.

Tylko w 2023 r. Fancy Bear, znany również jako APT28, obrał za cel ukraińskie zakłady energetyczne, agencje rządowe i wojsko. Francja oskarżyła także hakerów o szpiegowanie francuskich uniwersytetów, przedsiębiorstw i ośrodków doradczo-doradczych.

Grupa jest powiązana z rosyjską agencją wywiadu wojskowego (GRU) i atakuje przede wszystkim organizacje rządowe, energetyczne, transportowe i pozarządowe w USA, Europie i na Bliskim Wschodzie.

Hakerzy zazwyczaj wykorzystują publicznie dostępne luki, takie jak luki w programie Microsoft Outlook lub popularnym narzędziu do archiwizacji plików dla systemu Windows o nazwie WinRAR.

Na początku grudnia Polska Agencja Cyberbezpieczeństwa podała, że ​​Fancy Bear wykorzystał lukę w programie Microsoft Outlook w celu uzyskania dostępu do skrzynek pocztowych zawierających „informacje o dużej wartości”.