Orosz APT támadások: HTTP-shell alkalmazása kormánykritikus célpontok ellen
A Cluster25, egy fenyegetéseket elemző cég nemrég felfedte a „Medve és a Shell” nevű spear-phishing kampányt. Ez a kampány elsősorban az orosz kormányt bíráló szervezetekre és az ellenzéki mozgalmakhoz köthető csoportokra irányul. A támadás során a társadalmi mérnökség módszereit alkalmazva látszólag hitelesnek tűnő csalétekkel csapják be az áldozatokat.
Példaként említhető egy NASA-témájú e-mail, amely állítólag egy állásajánlatot rejtő ZIP fájlt tartalmaz. Ennek a fájlnak a megnyitásakor egy több platformon működő reverse shell, az HTTP-Shell aktiválódik, amely lehetővé teszi a támadók számára, hogy távolról hozzáférjenek az áldozat rendszeréhez.
Ez a shell, habár nyílt forráskódú, rosszindulatú célokra is felhasználható, így lehetővé téve a fájlok átvitelét, a könyvtárak böngészését és a kapcsolódást egy parancs- és vezérlő (C&C) szerverhez. Ebben az esetben a C&C szerver egy PDF-szerkesztő oldalnak álcázta magát, hogy elkerülje a felderítést.
Túl a NASA-n: Egy szélesebb csalási háló
A Cluster25 nyomozása többet tárt fel, mint csak egyetlen támadást. További hasonló kampányokat is felfedeztek. Ezek a kampányok ugyanazt a módszertant követték, hasonló parancsikonokat használtak, és néhány csalétek témája is megegyezett. Ezek az adatok egy összehangolt támadási kísérletre utalnak, amely különböző egyének és szervezetek ellen irányul.
A kampány a NASA-témájú csaléteken túl terjeszkedett, különféle témákat felölelve a különböző célpontok megtévesztésére. Egyik taktika az USAID-témájú támadás volt, amely az Egyesült Államok Nemzetközi Fejlesztési Ügynökségének jó hírnevét használta ki. Egy másik cél a hollandiai székhelyű nyomozó újságírói csoport, a Bellingcat volt, ami a kampány nemzetközi jellegét hangsúlyozza.
Független orosz médiumok, mint a The Bell és a Verstka, cikkeit használták csalétekként is, bemutatva a támadók törekvését, hogy behatoljanak azokba a közösségekbe, amelyek kritikusak az orosz kormánnyal szemben.
Attribúció: Nyomok, amelyek a Medvére mutatnak
Bár a pontos elkövetők azonosítása még mindig várat magára, a bizonyítékok egy orosz állami támogatású fenyegető szereplő irányába mutatnak.
A célpontok jellege, valamint a korábbi Sliver beacon aktivitásokhoz kapcsolódó infrastruktúra használata arra utal, hogy az orosz kormány nevében tevékenykedő szereplők állhatnak a háttérben.
Ez aggodalmakat kelt a célzott kibertámadásokkal kapcsolatban, amelyek célja az ellenzéki hangok elnyomása és a kritikus vélemények elhallgattatása.
Forrás: cybersecuritynews.com