Dwie grupy niebezpiecznych hakerów połączyły siły. Taka atakują
Specjaliści ESET odkryli pierwsze przypadki współdziałania grup Gamaredon i Turla powiązanych z rosyjską agencją FSB. Obie organizacje wspólnie atakowały ukraińskie instytucje wykorzystując zaawansowane narzędzia szpiegowskie.
Hakerzy łączą siły, by okradać
Analitycy z firmy ESET jako pierwsi na świecie zaobserwowali współpracę dwóch rosyjskich grup cyberprzestępczych. Narzędzie należące do grupy Gamaredon zostało wykorzystane do ponownego uruchomienia oprogramowania szpiegowskiego grupy Turla na jednym z komputerów na terenie Ukrainy. Eksperci ESET wykryli również instalację oprogramowania Turla przy użyciu narzędzi Gamaredon.
Wspólne operacje obu organizacji wskazują na ewolucję rosyjskich działań w cyberprzestrzeni. Rosyjskie służby coraz częściej łączą możliwości jednostek wyspecjalizowanych w masowych infekcjach z precyzyjnym cyberszpiegostwem. Według ustaleń ESET, obie grupy są powiązane z główną rosyjską agencją wywiadu FSB i koncentrują swoje ataki na kluczowych celach w Ukrainie.
Profile grup i skala operacji
Gamaredon funkcjonuje jako grupa APT (Advanced Persistent Threat) minimum od 2013 roku. Organizacja specjalizuje się w zaawansowanych kampaniach wymierzonych głównie w ukraińskie instytucje rządowe i wojskowe. Turla, nazywana również Snake, prowadzi działania co najmniej od 2004 roku, choć niektóre źródła wskazują na koniec lat 90. Grupa ta koncentruje się na podmiotach wysokiego szczebla, takich jak rządy i placówki dyplomatyczne w Europie, Azji Centralnej oraz na Bliskim Wschodzie.
Matthieu Faou, analityk cyberzagrożeń w ESET, który wraz z Zoltánem Rusnákiem odkrył współpracę obu grup, wskazuje - W ciągu tego roku ESET wykrył obecność Turli na siedmiu urządzeniach w Ukrainie. Ponieważ Gamaredon infekuje z kolei setki, jeśli nie tysiące komputerów, sugeruje to, że Turla atakuje tylko w określonych miejscach. Prawdopodobnie tam, gdzie znajdują się wysoce wrażliwe informacje.
Zoltán Rusnák dodaje - Gamaredon jest znany ze stosowania ataków typu spearphishing i złośliwych plików na nośnikach wymiennych, dlatego jedna z tych metod była najbardziej prawdopodobną przyczyną infekcji. Wierzymy z dużą pewnością, że obie grupy współpracują, choć każda z nich w inny sposób powiązana jest z FSB.
Służba Bezpieczeństwa Ukrainy wskazuje, że Gamaredon jest prawdopodobnie prowadzony przez oficerów Centrum 18 FSB, znanego jako Centrum Bezpieczeństwa Informacyjnego, zlokalizowanego na Krymie. Struktura ta wchodzi w skład kontrwywiadu FSB i zachowuje powiązania z II Zarządem Głównym KGB. Narodowe Centrum Cyberbezpieczeństwa Wielkiej Brytanii przypisuje grupę Turla do Centrum 16 FSB, które jest główną rosyjską agencją wywiadu sygnałowego i bezpośrednim spadkobiercą 16. Zarządu KGB. Dane ESET pokazują, że aktywności Gamaredon i Turli w ostatnich miesiącach skupiają się na ukraińskim sektorze obronnym.
