Песчаный червь (хакерская группа)
 Организационная структура Российской разведывательной службы (РИС). Группа Sandworm действует под руководством ГРУ . | |
| Формирование | в. 2004–2007 гг. [1] |
|---|---|
| Тип | Расширенная постоянная угроза |
| Цель | Кибершпионаж , кибервойна |
| Штаб-квартира | 22 Kirova Street Khimki, Russia |
Область | Россия |
| Методы | Нулевой день , целевой фишинг , вредоносное ПО |
Официальный язык | Русский |
Головная организация | ГРУ |
| Принадлежности | Необычный медведь |
Ранее назывался | Медведь Вуду [ 1 ] Железный Викинг [ 2 ] Телеботы [ 2 ] |
Sandworm — это продвинутая постоянная угроза, управляет воинская часть 74455, подразделение кибервойны ГРУ которой , России службы военной разведки . [ 3 ] Другие названия группы, данные исследователями кибербезопасности , включают APT44 , [ 4 ] Телеботы , Медведь Вуду , ИРИДИУМ , Морская Вьюга , [ 5 ] и Железный Викинг . [ 6 ] [ 7 ]
Предполагается, что эта команда стоит за кибератакой на энергосистему Украины в декабре 2015 года . [ 8 ] [ 9 ] [ 10 ] кибератаки на Украину в 2017 году с использованием вредоносного ПО NotPetya , [ 11 ] различные попытки вмешательства в президентские выборы во Франции 2017 года , [ 6 ] и кибератака на церемонию открытия Зимних Олимпийских игр 2018 года . [ 12 ] [ 13 ] Тогдашний прокурор США в Западном округе Пенсильвании Скотт Брейди охарактеризовал киберкампанию группы как «представляющую собой самые разрушительные и дорогостоящие кибератаки в истории». [ 6 ]
История
[ редактировать ]2014
[ редактировать ]3 сентября 2014 года компания iSIGHT Partners (теперь Mandiant ) обнаружила целевую фишинговую кампанию, использующую уязвимость нулевого дня в документах Microsoft Office, используемых в качестве оружия. Уязвимость, получившая название CVE-2014-4114, затронула все версии Windows от Vista до 8.1 и позволила злоумышленникам выполнить произвольный код на целевой машине. Исследователи смогли приписать нападение группе Sandworm и заметили, что украинское правительство было одной из целей кампании. Примечательно, что это нападение совпало с саммитом НАТО по Украине в Уэльсе. [ 14 ]
Взлом электросети Украины, 2015 г.
[ редактировать ]23 декабря 2015 года хакеры предприняли скоординированную кибератаку против трех энергетических компаний Украины и сумели временно прекратить подачу электроэнергии примерно 230 тысячам украинцев на 1-6 часов.
В январе iSight Partners опубликовала отчет, связывающий атаку с Sandworm на основе использования BlackEnergy 3. [ 15 ]
Взлом электросети Украины, 2016 г.
[ редактировать ]17 декабря 2016 года, через год после предыдущей атаки на энергосистему, хакеры снова нарушили работу энергосистемы Украины с помощью кибератаки. Около пятой части Киева обесточили на час. Хотя сбой в конечном итоге был непродолжительным, в отчете, опубликованном через 3 года после атаки охранной фирмой Dragos, излагается теория о том, что вредоносное ПО, известное как Industroyer или CRASHOVERRIDE, предназначалось для разрушения физического электрооборудования. Используя известную уязвимость в защитных реле, вредоносное ПО могло быть разработано для того, чтобы скрыть любые проблемы безопасности, например, когда инженеры работали над восстановлением электропитания, перегрузка по току вызывала разрушение трансформаторов или линий электропередачи. Такое разрушение потенциально могло бы нанести вред работникам коммунальных предприятий, а также привело бы к гораздо более длительному отключению электроэнергии, если бы оно удалось. [ 16 ]
Зимние Олимпийские игры 2018 года
[ редактировать ]2018 года во время церемонии открытия зимних Олимпийских игр в Пхёнчхане 9 февраля южнокорейские хакеры предприняли кибератаку и успешно разрушили ИТ-инфраструктуру, включая Wi-Fi, телевизоры вокруг Олимпийского стадиона в Пхёнчхане, показывающие церемонию, ворота безопасности на основе RFID и официальные Олимпийские игры. приложение, которое использовалось для продажи цифровых билетов. Сотрудники смогли восстановить большинство критически важных функций еще до завершения церемонии открытия, но всю сеть пришлось перестраивать с нуля. Вредоносная программа Wiper проникла во все контроллеры домена и вывела их из строя. [ 12 ]
Три дня спустя Cisco Talos опубликовала отчет, назвав вредоносное ПО «Олимпийским разрушителем». В отчете указано сходство методов распространения вредоносного ПО со штаммами вредоносного ПО BadRabbit и Nyetya, а целью атаки указано нарушение работы игр. [ 17 ]
образцы кода, принадлежащие нескольким злоумышленникам Установление авторства вредоносного ПО Olympic Destroyer оказалось трудным, поскольку выяснилось, что автор(ы) включил в качестве ложных сигналов . 12 февраля компания Intezer опубликовала отчет, показывающий сходство кода с образцами, приписываемыми трем китайским злоумышленникам, а в последующем отчете Talos отмечалась «слабая» подсказка, указывающая на другой вайпер, созданный дочерней компанией Lazarus Group , северокорейской APT . [ 18 ] [ 19 ]
8 марта команда Kaspersky GReAT опубликовала две записи в блоге, в которых обсуждаются текущие теории отрасли и собственные оригинальные исследования. В технической статье российская компания «Касперский» подробно показала, как они обнаружили поддельные заголовки файлов, указывающие на Lazarus Group, но не стала приписывать вредоносное ПО Olympic Destroyer какой-либо не северокорейской группе. [ 20 ] [ 21 ]
Обвинение США (2020)
[ редактировать ]
19 октября 2020 года большое жюри в США опубликовало обвинительное заключение, в котором шести предполагаемым офицерам подразделения 74455 предъявлено обвинение в киберпреступлениях. [ 22 ] [ 23 ] [ 24 ] Офицерам Юрию Сергеевичу Андриенко, Сергею Владимировичу Детистову, Павлу Валерьевичу Фролову, Анатолию Сергеевичу Ковалеву, Артему Валерьевичу Очиченко и Петру Николаевичу Плискину были предъявлены индивидуальные обвинения в сговоре с целью совершения компьютерного мошенничества и злоупотреблений, сговоре с целью совершения электронного мошенничества , электронном мошенничестве, повреждение защищенных компьютеров и кража личных данных при отягчающих обстоятельствах . Пятеро из шести были обвинены в открытой разработке хакерских инструментов, а Очиченко обвинили в участии в целевых фишинговых атаках на зимние Олимпийские игры 2018 года , а также в проведении технической разведки и попытке взлома официального домена парламента Грузии . [ 6 ]
Одновременно с объявлением обвинительного заключения в США Национальный центр кибербезопасности Великобритании ( NCSC ) опубликовал отчет, в котором публично связался с песчаным червем и атакой на зимних Олимпийских играх 2018 года. [ 2 ]
Эксплуатация Эксима (2020)
[ редактировать ]28 мая 2020 года Агентство национальной безопасности опубликовало предупреждение по кибербезопасности о том, что группа Sandworm активно использует уязвимость удаленного выполнения кода (известную как CVE-2019-10149) в Exim. [ 25 ] получить полный контроль над почтовыми серверами. [ 26 ] На момент публикации рекомендаций обновленная версия Exim была доступна уже год, и АНБ призвало администраторов обновить свои почтовые серверы.
Циклоп Блинк (2022)
[ редактировать ]В феврале 2022 года Sandworm якобы выпустила Cyclops Blink как вредоносное ПО. Вредоносное ПО похоже на VPNFilter . [ 27 ] Вредоносное ПО позволяет ботнет создать Asus и поражает маршрутизаторы , а также устройства WatchGuard Firebox и XTM. CISA выпустила предупреждение об этом вредоносном ПО. [ 28 ]
Запрос о военных преступлениях (март 2022 г.)
[ редактировать ]В конце марта 2022 года следователи и юристы по правам человека юридической школы Калифорнийского университета в Беркли направили официальный запрос прокурору Международного уголовного суда в Гааге . [ 29 ] Они призвали Международный уголовный суд рассмотреть обвинения в военных преступлениях против российских хакеров за кибератаки на Украину. [ 29 ] Песчаный червь был специально назван в связи с атаками на электроэнергетические предприятия в декабре 2015 года на западе Украины и атаками на коммунальные предприятия в Киеве в 2016 году. [ 29 ]
Атака на энергосистему Украины (апрель 2022 г.)
[ редактировать ]В апреле 2022 года Sandworm попыталась отключить электричество в Украине. [ 30 ] Сообщается, что это первая атака за пять лет с использованием варианта вредоносного ПО Industroyer под названием Industroyer2. [ 31 ]
SwiftSlicer (январь 2023 г.)
[ редактировать ]25 января 2023 года компания ESET приписала Active Directory . уязвимости очистку Sandworm [ 32 ]
Печально известное долото (август 2023 г.)
[ редактировать ]31 августа 2023 года агентства кибербезопасности США, Великобритании, Канады, Австралии и Новой Зеландии (совместно известные как Five Eyes ) совместно опубликовали отчет о новой вредоносной кампании и приписали ее Sandworm. Вредоносная программа, получившая название «Infamous Chisel», была нацелена на устройства Android, используемые украинскими военными. После первоначального заражения вредоносная программа устанавливает постоянный доступ, а затем периодически собирает и удаляет данные со скомпрометированного устройства. Собираемая информация включает в себя:
- системная информация устройства
- данные приложений из многих типов приложений:
- чат - Skype, Telegram, WhatsApp, Signal, Viber, Discord
- браузер – Opera, Brave, Firefox, Chrome
- двухфакторная аутентификация (2FA) – Google Authenticator
- VPN — OpenVPN, мастер VPN-прокси
- синхронизация файлов — OneDrive, Dropbox
- финансы — Binance, PayPal, Trust Wallet, Google Wallet
- приложения, специфичные для украинской армии
Вредоносная программа также периодически собирает открытые порты и баннеры сервисов, работающих на других хостах локальной сети. Кроме того, SSH- создается и настраивается сервер для работы в качестве скрытой службы Tor . Злоумышленник может затем удаленно подключиться к зараженному устройству, не раскрывая свой истинный IP-адрес. [ 33 ]
Имя
[ редактировать ]Название «Sandworm» было дано исследователями из iSight Partners (ныне Mandiant ) из-за отсылок в исходном коде вредоносного ПО к Фрэнка Герберта роману «Дюна » . [ 34 ]
В 2024 году, учитывая активные и постоянные угрозы, которые Sandworm представляет для правительств и операторов критической инфраструктуры во всем мире, Mandiant «перевела» Sandworm в группу APT, назвав ее APT44. [ 4 ]
См. также
[ редактировать ]Ссылки
[ редактировать ]- ^ Адам Мейерс (29 января 2018 г.). «МЕДВЕДЬ ВУДУ | Профиль злоумышленника | CrowdStrike» . Забастовка толпы.
- ^ Jump up to: а б с «Великобритания разоблачила серию российских кибератак против Олимпийских и Паралимпийских игр» . Национальный центр кибербезопасности. 19 октября 2020 г.
- ^ Гринберг, Энди (2019). Песчаный червь: новая эра кибервойны и охота на самых опасных кремлевских хакеров . Кнопф Даблдэй. ISBN 978-0-385-54441-2 .
- ^ Jump up to: а б «APT44: Раскопки песчаного червя» (PDF) . Проверено 12 сентября 2024 г. Ошибка цитирования: именованная ссылка «apt44-unearthing-sandworm» была определена несколько раз с разным содержимым (см. страницу справки ).
- ^ «Как Microsoft называет субъектов угроз» . Майкрософт . Проверено 21 января 2024 г.
- ^ Jump up to: а б с д «Шестерым российским офицерам ГРУ предъявлены обвинения в связи с распространением по всему миру деструктивного вредоносного ПО и другими подрывными действиями в киберпространстве» . Управление по связям с общественностью Министерства юстиции . Министерство юстиции США . 19 октября 2020 г. Проверено 23 июля 2021 г.
- ^ Тимберг, Крейг; Накашима, Эллен; Мюнцингер, Ханнес; Танриверди, Хакан (30 марта 2023 г.). «Секретная находка предлагает редкий взгляд на амбиции России в области кибервойны» . Вашингтон Пост . Проверено 31 марта 2023 г.
- ^ «Хакеры отключили энергосистему Украины» . www.ft.com . 5 января 2016 года . Проверено 28 октября 2020 г.
- ^ Волц, Дастин (25 февраля 2016 г.). «Правительство США пришло к выводу, что кибератака стала причиной отключения электроэнергии в Украине» . Рейтер . Проверено 28 октября 2020 г.
- ^ Херн, Алекс (7 января 2016 г.). "Украинский блэкаут вызван хакерами, атаковавшими медиакомпанию, - считают исследователи" . Хранитель . ISSN 0261-3077 . Проверено 28 октября 2020 г.
- ^ «Нерассказанная история NotPetya, самой разрушительной кибератаки в истории» . Проводной . ISSN 1059-1028 . Проверено 28 октября 2020 г.
- ^ Jump up to: а б Гринберг, Энди . «Внутри олимпийского разрушителя, самый обманчивый взлом в истории» . Проводной . ISSN 1059-1028 . Проверено 28 октября 2020 г.
- ^ Эндрю С. Боуэн (24 ноября 2020 г.). Российская военная разведка: предыстория и проблемы для Конгресса (PDF) (Отчет). Исследовательская служба Конгресса . п. 16 . Проверено 21 июля 2021 г.
- ^ Стивен Уорд (14 октября 2014 г.). «iSIGHT обнаружила уязвимость нулевого дня CVE-2014-4114, используемую в российской кампании кибершпионажа» . Архивировано из оригинала 14 октября 2014 года . Проверено 5 ноября 2023 г.
- ^ Халтквист, Джон (7 января 2016 г.). «Команда песчаных червей и атаки украинской власти» . Партнеры iSIGHT. Архивировано из оригинала 29 января 2016 года.
- ^ Джо Слоуик (15 августа 2019 г.). «CRASHOVERRIDE: Переоценка событий в электроэнергетике Украины в 2016 году как атака, направленная на защиту» (PDF) . Драгос Инк.
- ^ Уоррен Мерсер (12 февраля 2018 г.). «Олимпийский разрушитель нацелился на зимние Олимпийские игры» . Циско Талос.
- ^ Расканьерес, Поль; Ли, Мартин (26 февраля 2018 г.). «Кто не несет ответственности за олимпийский разрушитель?» . Циско Талос.
- ^ Джей Розенберг (12 февраля 2018 г.). «Зимние киберолимпиады 2018 года: сходство кода с кибератаками в Пхенчхане» . Архивировано из оригинала 30 июня 2020 года.
- ^ Команда Kaspersky GReAT (8 марта 2018 г.). «OlympicDestroyer здесь, чтобы обмануть индустрию» . Архивировано из оригинала 31 января 2019 года.
- ^ Команда Kaspersky GReAT (8 марта 2018 г.). «Дьявол в заголовке Rich» . Архивировано из оригинала 22 февраля 2019 года.
- ^ Чимпану, Каталин. «США обвиняют российских хакеров в атаках NotPetya, KillDisk, OlympicDestroyer» . ЗДНет . Проверено 28 октября 2020 г.
- ^ «Российские кибератаки показывают, как выглядит безудержная интернет-война» . Хранитель . 19 октября 2020 г. Проверено 28 октября 2020 г.
- ^ «США предъявили обвинение песчаному червю, самому разрушительному подразделению России в области кибервойны» . Проводной . ISSN 1059-1028 . Проверено 28 октября 2020 г.
- ^ Сатнам Наранг (6 июня 2019 г.). «CVE-2019-10149: в Exim обнаружена критическая уязвимость удаленного выполнения команд» . Проверено 4 ноября 2023 г.
- ^ «Агент передачи почты Exim активно используется российскими киберпреступниками ГРУ» . Агентство национальной безопасности. Архивировано из оригинала 24 марта 2023 года.
- ^ Хардкасл, Джессика Лайонс. «Вредоносная программа Cyclops Blink внедряется в маршрутизаторы ASUS» . www.theregister.com . Проверено 21 марта 2022 г.
- ^ «CISA добавляет в каталог восемь известных эксплуатируемых уязвимостей | CISA» . www.cisa.gov . 11 апреля 2022 г. Проверено 13 апреля 2022 г.
- ^ Jump up to: а б с Гринберг, Энди (12 мая 2022 г.). «Дело об обвинениях в военных преступлениях против российских хакеров-червей» . Проводной . Проверено 7 июля 2022 г.
- ^ Гринберг, Энди. «Российские хакеры-песчаные черви предприняли третью попытку отключения электроэнергии на Украине» . Проводной . ISSN 1059-1028 . Проверено 13 апреля 2022 г.
- ^ «Индустрой2: Индустрой перезагрузка» . www.welivesecurity.com . Проверено 13 апреля 2022 г.
- ^ Живе.ск (27 января 2023 г.). «Новый троянский конь уничтожает компьютеры на Украине. Предполагается, что хакеры связаны с Россией» . Живе.ск (на словацком языке) . Проверено 27 января 2023 г.
- ^ «Отчет об анализе вредоносного ПО Infamous Chisel» . Агентство кибербезопасности и безопасности инфраструктуры. 31 августа 2023 г. Проверено 6 ноября 2023 г.
- ^ Ким Зеттер (14 октября 2014 г.). «Российский хакер Sandworm» уже много лет шпионит за правительствами иностранных государств» . Проводной . Архивировано из оригинала 14 октября 2014 года.
Дальнейшее чтение
[ редактировать ]- Гринберг, Энди (2019). Песчаный червь: новая эра кибервойны и охота на самых опасных кремлевских хакеров . Кнопф Даблдэй. ISBN 978-0-385-54441-2 .