Уютный Медведь
 | этой статьи Начальный раздел может быть слишком коротким, чтобы адекватно суммировать ключевые моменты . ( декабрь 2020 г. ) |
| Формирование | в. 2008 год [1] |
|---|---|
| Тип | Расширенная постоянная угроза |
| Цель | Кибершпионаж , кибервойна |
Область | Россия |
| Методы | Целевой фишинг , вредоносное ПО |
Официальный язык | Русский |
| Лидер | Вриасе |
Головная организация | либо ФСБ , либо СВР [2] [3] [4] |
| Принадлежности | Необычный медведь |
Ранее назывался | APT29, CozyCar, CozyDuke, Dark Halo, The Dukes, Grizzly Steppe (в сочетании с Fancy Bear ), NOBELIUM, Office Monkeys, StellarParticle, UNC2452, YTTRIUM |
Cosy Bear , классифицированная федеральным правительством США как продвинутая постоянная угроза APT29 , представляет собой российскую хакерскую группу , предположительно связанную с одним или несколькими спецслужбами России . Нидерландов Служба общей разведки и безопасности (AIVD) на основе записей с камер видеонаблюдения сделала вывод, что ее возглавляет Служба внешней разведки России (СВР). [5] точку зрения, разделяемую Соединенными Штатами . [4] Фирма по кибербезопасности CrowdStrike также ранее предположила, что она может быть связана либо с Федеральной службой безопасности (ФСБ), либо с СВР. [2] давали группе различные прозвища. Другие фирмы по кибербезопасности, в том числе CozyCar , [6] УютныйДюк [7] [8] (от F-Secure ), Dark Halo , The Dukes (от Volexity), Midnight Blizzard [9] (от Microsoft ), NOBELIUM , Office Monkeys , StellarParticle , UNC2452 и YTTRIUM .
20 декабря 2020 года стало известно, что Cozy Bear несет ответственность за кибератаку на суверенные национальные данные США, предположительно осуществленную по указанию правительства России. [10]
Методы и технические возможности [ править ]
«Лаборатория Касперского» установила, что самые ранние образцы вредоносного ПО MiniDuke, приписываемого группе, датируются 2008 годом. [1] Исходный код был написан на языке ассемблера . [11] Symantec полагает, что Cozy Bear компрометирует дипломатические организации и правительства как минимум с 2010 года. [12]
Вредоносная программа CozyDuke использует бэкдор и дроппер . Вредоносная программа передает данные на сервер управления и контроля . Злоумышленники могут адаптировать вредоносное ПО к окружающей среде. [1] Компоненты бэкдора вредоносного ПО Cozy Bear со временем обновляются с модификациями криптографии , функциональности троянов и защиты от обнаружения. Скорость, с которой Cozy Bear разрабатывает и развертывает свои компоненты, напоминает набор инструментов Fancy Bear, в котором также используются инструменты CHOPSTICK и CORESHELL. [13]
Набор вредоносных программ CozyDuke от Cozy Bear структурно и функционально аналогичен компонентам второго этапа, использовавшимся в ранних операциях Miniduke, Cosmicduke и OnionDuke. Модуль второй стадии вредоносного ПО CozyDuke, Show.dll, судя по всему, был построен на той же платформе, что и OnionDuke, что позволяет предположить, что авторы работают вместе или являются одними и теми же людьми. [13] Кампании и наборы вредоносных программ, которые они используют, называются Dukes, включая Cosmicduke, Cozyduke и Miniduke. [12] CozyDuke связан с кампаниями MiniDuke и CosmicDuke, а также с кампанией по кибершпионажу OnionDuke. Каждая группа угроз отслеживает свои цели и использует наборы инструментов, которые, вероятно, были созданы и обновлены русскоязычными. [1] После разоблачения MiniDuke в 2013 году обновления вредоносного ПО были написаны на C / C++ и упакованы новым обфускатором . [11]
HAMMERTOSS, Cozy Bear подозревается в создании инструмента удаленного доступа который использует часто посещаемые веб-сайты, такие как Twitter и GitHub, для передачи командных данных . [14]
Seaduke — это низкопрофильный троян с широкими возможностями настройки, используемый только для небольшого набора важных целей. Обычно Seaduke устанавливается на системы, уже зараженные гораздо более широко распространенным CozyDuke. [12]
Атаки [ править ]
Похоже, у Cozy Bear разные проекты с разными группами пользователей. В центре внимания проекта «Nemesis Gemina» — военный, правительственный, энергетический, дипломатический и телекоммуникационный секторы. [11] Имеющиеся данные свидетельствуют о том, что в 2014 году целями Cosy Bear были коммерческие предприятия и правительственные организации в Германии, Узбекистане, Южной Корее и США, включая Государственный департамент США и Белый дом . [13]
Офисные обезьяны (2014) [ править ]
В марте 2014 года в сети частного исследовательского института из Вашингтона (округ Колумбия) было обнаружено наличие CozyDuke (Trojan.Cozer). Затем Cozy Bear начал рассылку по электронной почте, пытаясь убедить жертв нажать на флэш-видео с офисными обезьянами, которое также содержало вредоносные исполняемые файлы. [1] [12] К июлю группа взломала правительственные сети и приказала системам, зараженным CozyDuke, установить Miniduke в взломанную сеть. [12]
Летом 2014 года цифровые агенты Службы общей разведки и безопасности Нидерландов проникли в Cosy Bear. Они обнаружили, что эти российские хакеры атаковали Демократическую партию США, Государственный департамент и Белый дом. Их доказательства повлияли на решение ФБР начать расследование. [5] [15]
Пентагон (август 2015 г.) [ править ]
В августе 2015 года Cozy Bear был связан с целенаправленной фишинговой кибератакой на Пентагона систему электронной почты , в результате которой на время расследования была отключена вся несекретная система электронной почты Объединенного штаба и доступ в Интернет. [16] [17]
(2016 Национальный комитет Демократической партии г. )
В июне 2016 года Cozy Bear вместе с хакерской группой Fancy Bear был замешан в кибератаках на Национальный комитет Демократической партии . [2] Хотя обе группы одновременно присутствовали на серверах Национального комитета Демократической партии , каждая, похоже, не знала о другой, независимо крадя одни и те же пароли и иным образом дублируя усилия друг друга. [18] Криминалистическая группа CrowdStrike установила, что хотя Cozy Bear находился в сети Национального комитета Демократической партии более года, Fancy Bear пробыл там всего несколько недель. [19] Более изощренное профессиональное мастерство Cosy Bear и интерес к традиционному долгосрочному шпионажу позволяют предположить, что группа возникла из отдельного российского разведывательного агентства. [18]
Аналитические центры и НПО США ( г. 2016 )
После президентских выборов в США в 2016 году Cozy Bear был связан с серией скоординированных и хорошо спланированных целевых фишинговых кампаний против базирующихся в США аналитических центров и неправительственных организаций (НПО). [20]
Правительство Норвегии (2017 г.) [ править ]
3 февраля 2017 года Служба безопасности норвежской полиции (PST) сообщила, что были предприняты попытки взлома учетных записей электронной почты девяти человек в Министерстве обороны , Министерстве иностранных дел и Лейбористской партии . Действия были приписаны Cozy Bear, в число целей которого входили Норвежское управление радиационной защиты , руководитель отдела PST Арне Кристиан Хаугстойл и неназванный коллега. Премьер-министр Эрна Сольберг назвала эти действия «серьезной атакой на наши демократические институты». [21] Сообщается, что нападения были совершены в январе 2017 года. [22]
Голландские министерства (2017 г.) [ править ]
В феврале 2017 года выяснилось, что Cosy Bear и Fancy Bear предприняли несколько попыток взломать голландские министерства, в том числе Министерство общих дел за предыдущие шесть месяцев . Роб Бертоли , глава AIVD, заявил на EenVandaag , что хакеры были русскими и пытались получить доступ к секретным правительственным документам. [23]
На брифинге в парламенте министр внутренних дел и отношений с королевством Нидерландов Рональд Пластерк объявил, что голоса на всеобщих выборах в Нидерландах в марте 2017 года будут подсчитываться вручную. [24]
Операция «Призрак» [ править ]
Подозрения о прекращении деятельности Cozy Bear были развеяны в 2019 году после обнаружения трех новых семейств вредоносного ПО, приписываемых Cozy Bear: PolyglotDuke, RegDuke и FatDuke. Это показывает, что Cozy Bear не прекратил свою деятельность, а разработал новые инструменты, которые труднее обнаружить. Взлом целей с использованием этих недавно обнаруженных пакетов в совокупности называется операцией «Призрак». [25]
COVID-19 (2020 Дата вакцинации от г. )
обвинили Cozy Bear В июле 2020 года АНБ , NCSC и CSE в попытке украсть данные о вакцинах и методах лечения COVID-19 , разрабатываемых в Великобритании, США и Канаде. [26] [27] [28] [29] [4]
Атака на цепочку поставок вредоносного ПО SUNBURST ( 2020 г. )
8 декабря 2020 года американская фирма FireEye , занимающаяся кибербезопасностью , сообщила, что коллекция ее собственных инструментов исследования кибербезопасности была украдена, возможно, «страной с высочайшими наступательными возможностями». [30] [31] 13 декабря 2020 года FireEye объявила, что расследование обстоятельств кражи интеллектуальной собственности выявило «глобальную кампанию по вторжению… [с использованием] атаки на цепочку поставок, использующей троянские обновления бизнес-программного обеспечения SolarWinds Orion с целью распространения вредоносного ПО, которое мы называем SUNBURST… .Эта кампания, возможно, началась уже весной 2020 года и... является работой высококвалифицированного участника, [использующего] значительную оперативную безопасность». [32] [ рекламный источник? ]
Вскоре после этого SolarWinds подтвердила, что несколько версий их продуктов на платформе Orion были скомпрометированы, вероятно, иностранным государством. [33] Последствия атаки побудили Агентство кибербезопасности и безопасности инфраструктуры США (CISA) издать редкую чрезвычайную директиву. [34] [35] Около 18 000 клиентов SolarWinds подверглись воздействию SUNBURST, включая несколько федеральных агентств США . [36] Источники Washington Post назвали Cozy Bear группой, ответственной за нападение. [37] [4]
По данным Microsoft, [38] Затем хакеры украли сертификаты подписи, которые позволили им выдать себя за любого из существующих пользователей и учетных записей цели с помощью языка разметки утверждений безопасности . Язык на основе XML, обычно обозначаемый сокращенно SAML, предоставляет поставщикам удостоверений возможность обмениваться данными аутентификации и авторизации с поставщиками услуг. [39]
Республиканский национальный комитет ( г. 2021 )
В июле 2021 года Cozy Bear взломал системы Национального комитета Республиканской партии . [40] [41] Официальные лица заявили, что, по их мнению, атака была осуществлена через Synnex . [40] Кибератака произошла на фоне более серьезных последствий, связанных с атакой с использованием программы-вымогателя, распространявшейся через скомпрометированное программное обеспечение Kaseya VSA . [40]
Microsoft (2022–24) [ править ]
24 августа 2022 года Microsoft сообщила, что клиент был скомпрометирован атакой Cosy Bear, которая имела очень высокую устойчивость на сервере федеративных служб Active Directory , и назвала этот метод атаки «MagicWeb», атакой, которая «манипулирует сертификатами аутентификации пользователей, используемыми для аутентификации». . [42]
В январе 2024 года Microsoft сообщила, что недавно обнаружила и пресекла начавшуюся в ноябре прошлого года взлом учетных записей электронной почты своего высшего руководства и других сотрудников подразделений юридической и кибербезопасности с использованием «распыления паролей», формы атаки методом перебора . Этот взлом, проведенный Midnight Blizzard, судя по всему, был направлен на то, чтобы выяснить, что компания знала об операции взлома. [43]
См. также [ править ]
Ссылки [ править ]
- ^ Перейти обратно: а б с д Это «Связь MiniDuke с CozyDuke нацелена на Белый дом» . Таймс разведки угроз . 27 апреля 2015 г. Архивировано из оригинала 11 июня 2018 г. Проверено 15 декабря 2016 г.
- ^ Перейти обратно: а б с Альперович, Дмитрий. «Медведи посреди: Вторжение в Национальный комитет Демократической партии» . Блог CrowdStrike . Архивировано из оригинала 24 мая 2019 года . Проверено 27 сентября 2016 г.
- ^ «МЕЖДУНАРОДНАЯ БЕЗОПАСНОСТЬ И ЭСТОНИЯ» (PDF) . www.valisluureamet.ee . 2018. Архивировано из оригинала (PDF) 26 октября 2020 г. Проверено 15 декабря 2020 г.
- ^ Перейти обратно: а б с д Эндрю С. Боуэн (4 января 2021 г.). Российские киберподразделения (Отчет). Исследовательская служба Конгресса . п. 1. Архивировано из оригинала 5 августа 2021 года . Проверено 25 июля 2021 г.
- ^ Перейти обратно: а б Хуиб Моддерколк (25 января 2018 г.). «Голландские агентства предоставляют важную информацию о вмешательстве России в выборы в США» . де Фольскрант . Архивировано из оригинала 31 января 2018 года . Проверено 26 января 2018 г.
- ^ «Кто такой УЮТНЫЙ МЕДВЕДЬ?» . КраудСтрайк . 19 сентября 2016 г. Архивировано из оригинала 15 декабря 2020 г. . Проверено 15 декабря 2016 г.
- ^ «Исследование F-Secure связывает CozyDuke с громким шпионажем» (пресс-релиз) . 30 апреля 2015 г. Архивировано из оригинала 7 января 2017 г. Проверено 6 января 2017 г.
- ^ «Кибератаки, связанные со сбором российской разведывательной информации» (пресс-релиз) . F-безопасный. 17 сентября 2015 года. Архивировано из оригинала 7 января 2017 года . Проверено 6 января 2017 г.
- ^ Вайзе, Карен (19 января 2024 г.). «Электронная почта руководителей Microsoft взломана группой, связанной с российской разведкой» . Нью-Йорк Таймс . Архивировано из оригинала 20 января 2024 года . Проверено 20 января 2024 г.
- ^ Сэнгер, Дэвид Э. (13 декабря 2020 г.). «Российские хакеры взломали федеральные агентства, как подозревают американские чиновники» . Нью-Йорк Таймс . ISSN 0362-4331 . Архивировано из оригинала 13 декабря 2020 г. Проверено 3 октября 2021 г.
- ^ Перейти обратно: а б с Группа глобальных исследований и анализа «Лаборатории Касперского» (3 июля 2014 г.). «Минидьюк вернулся: Немезида Джемина и студия Ботгена» . Список безопасности . Архивировано из оригинала 12 мая 2020 года . Проверено 19 мая 2020 г.
- ^ Перейти обратно: а б с д Это « Forkmeiamfamous»: Сидьюк, новейшее оружие в арсенале герцога» . Ответ безопасности Symantec . 13 июля 2015 года. Архивировано из оригинала 14 декабря 2016 года . Проверено 15 декабря 2016 г.
- ^ Перейти обратно: а б с Баумгартнер, Курт; Райу, Костин (21 апреля 2015 г.). «Уютный Дюк APT» . Список безопасности. Архивировано из оригинала 30 января 2018 года . Проверено 19 мая 2020 г.
- ^ «HAMMERTOSS: Скрытная тактика определяет российскую группу киберугроз» . Огненный Глаз . 9 июля 2015 года. Архивировано из оригинала 23 марта 2019 года . Проверено 7 августа 2015 г.
- ^ Ноак, Рик (26 января 2018 г.). «Голландцы были тайным союзником США в войне против российских хакеров, сообщают местные СМИ» . Вашингтон Пост . Архивировано из оригинала 26 января 2018 года . Проверено 15 февраля 2023 г.
- ^ Кубе, Кортни (7 августа 2015 г.). "Россия взламывает компьютеры Пентагона: NBC со ссылкой на источники" . Архивировано из оригинала 8 августа 2019 года . Проверено 7 августа 2015 г.
- ^ Старр, Барбара (7 августа 2015 г.). «Официально: Россию подозревают во взломе почтового сервера Объединенного комитета начальников штабов» . Архивировано из оригинала 8 августа 2019 года . Проверено 7 августа 2015 г.
- ^ Перейти обратно: а б «Медведь на медведе» . Экономист . 22 сентября 2016 г. Архивировано из оригинала 20 мая 2017 г. Проверено 14 декабря 2016 г.
- ^ Уорд, Вики (24 октября 2016 г.). «Человек, возглавляющий борьбу Америки с российскими хакерами, — худший кошмар Путина» . Эсквайр . Архивировано из оригинала 26 января 2018 года . Проверено 15 декабря 2016 г.
- ^ «PowerDuke: Широко распространенные послевыборные кампании целенаправленного фишинга, нацеленные на аналитические центры и НПО» . Волексность . 9 ноября 2016 года. Архивировано из оригинала 20 декабря 2016 года . Проверено 14 декабря 2016 г.
- ^ Стэнглин, Дуг (3 февраля 2017 г.). «Норвегия: российские хакеры атаковали шпионское агентство, министерство обороны и Лейбористскую партию» . США сегодня . Архивировано из оригинала 5 апреля 2017 года . Проверено 26 августа 2017 г.
- ^ «Норвегия подверглась масштабной хакерской атаке» . НРК . 3 февраля 2017 года. Архивировано из оригинала 5 февраля 2017 года . Проверено 4 февраля 2017 г.
- ^ Моддерколк, Хуиб (4 февраля 2017 г.). «Русским не удалось взломать чиновников голландских министерств» . Де Фолькскрант (на голландском языке). Архивировано из оригинала 4 февраля 2017 года . Проверено 4 февраля 2017 г.
- ^ Класки, Питер (3 февраля 2017 г.). «Голландцы выбрали ручной подсчет после сообщений о российском хакерстве» . Ирландские Таймс . Архивировано из оригинала 3 февраля 2017 года . Проверено 4 февраля 2017 г.
- ^ «Операция «Призрак»: герцоги не вернулись — они никогда не уходили» . Исследования ESET . 17 октября 2019 года. Архивировано из оригинала 11 марта 2020 года . Проверено 8 февраля 2020 г.
- ^ «АНБ объединяется с NCSC, CSE, DHS CISA, чтобы разоблачить российские спецслужбы, нацеленные на COVID» . Агентство национальной безопасности Центральная служба безопасности . Архивировано из оригинала 11 декабря 2020 года . Проверено 25 июля 2020 г.
- ^ «Заявление CSE об угрозах, направленных на разработку вакцины против COVID-19 – четверг, 16 июля 2020 г.» . cse-cst.gc.ca . Учреждение безопасности связи. 14 июля 2020 года. Архивировано из оригинала 16 июля 2020 года . Проверено 16 июля 2020 г.
- ^ Джеймс, Уильям (16 июля 2020 г.). «Россия пытается взломать и украсть данные о вакцине против COVID-19, — заявляет Британия» . Рейтер Великобритания . Архивировано из оригинала 17 июля 2020 года . Проверено 16 июля 2020 г.
- ^ «Великобритания и ее союзники разоблачают российские атаки на разработку вакцины от коронавируса» . Национальный центр кибербезопасности. 16 июля 2020 года. Архивировано из оригинала 16 июля 2020 года . Проверено 16 июля 2020 г.
- ^ Сэнгер, Дэвид Э.; Перлрот, Николь (8 декабря 2020 г.). «FireEye, ведущая фирма по кибербезопасности, заявляет, что ее взломало национальное государство» . Нью-Йорк Таймс . Архивировано из оригинала 15 декабря 2020 года . Проверено 15 декабря 2020 г.
- ^ агентства, сотрудники Guardian и (9 декабря 2020 г.). «Американская фирма по кибербезопасности FireEye заявляет, что ее взломало иностранное правительство» . хранитель . Архивировано из оригинала 16 декабря 2020 года . Проверено 15 декабря 2020 г.
- ^ «Очень уклончивый злоумышленник использует цепочку поставок SolarWinds для компрометации множества жертв по всему миру с помощью бэкдора SUNBURST» . Огненный Глаз . Архивировано из оригинала 15 декабря 2020 г. Проверено 15 декабря 2020 г.
- ^ «Консультации по безопасности | SolarWinds» . www.solarwinds.com . Архивировано из оригинала 15 декабря 2020 г. Проверено 15 декабря 2020 г.
- ^ «cyber.dhs.gov – Чрезвычайная директива 21-01» . www.cyber.dhs.gov . 13 декабря 2020 года. Архивировано из оригинала 15 декабря 2020 года . Проверено 15 декабря 2020 г.
- ^ «cyber.dhs.gov — Директивы по кибербезопасности» . www.cyber.dhs.gov . 18 мая 2022 года. Архивировано из оригинала 15 декабря 2020 года . Проверено 15 декабря 2020 г.
- ^ Чимпану, Каталин. «Документы SEC: SolarWinds сообщает, что недавний взлом затронул 18 000 клиентов» . ЗДНет . Архивировано из оригинала 15 декабря 2020 г. Проверено 15 декабря 2020 г.
- ^ Накашима, Эллен; Тимберг, Крейг. «Российские правительственные хакеры стоят за широкой шпионской кампанией, которая скомпрометировала агентства США, включая министерство финансов и торговлю» . Вашингтон Пост . ISSN 0190-8286 . Архивировано из оригинала 13 декабря 2020 г. Проверено 14 декабря 2020 г.
- ^ «Важные шаги для клиентов по защите от недавних кибератак со стороны национальных государств» . 14 декабря 2020 года. Архивировано из оригинала 20 декабря 2020 года . Проверено 16 декабря 2020 г.
- ^ Гудин, Дэн; Тимберг. «~18 000 организаций скачали бэкдор, установленный хакерами Cozy Bear» . Арс Техника . Архивировано из оригинала 16 декабря 2020 г. Проверено 15 декабря 2020 г.
- ^ Перейти обратно: а б с Тертон, Уильям; Джейкобс, Дженнифер (6 июля 2021 г.). «Российский «Уютный медведь» взломал Республиканскую партию в результате атаки программы-вымогателя» . Новости Блумберга . Архивировано из оригинала 6 июля 2021 года . Проверено 7 июля 2021 г.
- ^ Кэмпбелл, Ян Карлос (6 июля 2021 г.). «Сообщается, что российские хакеры атаковали компьютерные системы Республиканской партии» . Грань . Архивировано из оригинала 7 июля 2021 года . Проверено 7 июля 2021 г.
- ^ «MagicWeb: трюк NOBELIUM после компрометации для аутентификации под кем угодно» . Блог Microsoft по безопасности . Майкрософт. 24 августа 2022 года. Архивировано из оригинала 26 августа 2022 года . Проверено 26 августа 2022 г.
- ^ Франчески-Биккьерай, Лоренцо (19 января 2024 г.). «Хакеры взломали Microsoft, чтобы узнать, что Microsoft знает о них» . Техкранч . Архивировано из оригинала 20 января 2024 года . Проверено 22 января 2024 г.
Внешние ссылки [ править ]
- Киберпреступность
- Кибервойна
- Хакерские группы
- Хакерство в 2000-х годах
- Хакерство в 2010-х годах
- Информационные технологии в России
- Воинские части и соединения, созданные в 2000-е годы
- Организации, связанные с вмешательством России в выборы в США 2016 года
- Российские передовые группы постоянной угрозы