Check Point rozkryl jeden z nejaktivnějších a nejpokročilejších kyberšpionážních ekosystémů

Pokud vám jména Turla, Sofacy a APT29 nic neříkají, měla by. Jedná se o velmi nebezpečné a sofistikované APT skupiny, které jsou součástí ruského ekosystému, díky čemuž patří Rusko mezi nejsilnější kyberválečné mocnosti. Pokročilé nástroje, jedinečné přístupy a robustní infrastruktura naznačují rozsáhlé a komplikované operace, které zahrnují různé ruské vojenské, vládní a zpravodajské subjekty.
Rusko za poslední tři desetiletí provedlo celou řadu kybernetických špionáží a sabotáží. Od prvního veřejně známého útoku Moonlight Maze v roce 1996, přes úniky dat z Pentagonu v roce 2008, útok na Kyjev v roce 2016, hackování amerických voleb v roce 2016 až po některé z největších a nejničivějších kybernetických útoků v historii, jako jsme viděli například u ransomwaru NotPetya.

Mnoho ruských operací a malwarových rodin bylo odhaleno různými bezpečnostními společnostmi a zpravodajskými organizacemi, jako jsou FBI a EFIS (Estonian Foreign Intelligence Services). Ale i když máme informace o jednotlivých aktérech a operacích, celkový pohled nebyl jasný.

Výzkumný tým Check Point Research proto analyzovat celý ekosystém a interakce mezi jednotlivými aktéry. Bylo shromážděno, klasifikováno a analyzováno tisíce ruských vzorků APT (Advanced Persistent Threat) malwaru a rozkryto spojení nejen mezi vzorky, ale také mezi různými malwarovými rodinami a jednotlivými aktéry.

Během výzkumu bylo analyzováno přibližně 2 000 vzorků, objeveno 22 000 spojení mezi vzorky a nalezeno 3,85 milionu neunikátních částí kódů, které byly sdíleny. Vzorky byly rozřazeny do 60 rodin a 200 různých modulů. Bylo to pravděpodobně poprvé, kdy došlo k takto rozsáhlému a detailnímu výzkumu a kdy byl rozklíčován jeden z nejaktivnějších a nejpokročilejších kyberšpionážních ekosystémů.

Analýza jasně ukázala, že části kódů, jako jsou funkce, moduly a šifrovací schémata, jsou sdílené napříč týmy a projekty v rámci jedné útočné kyberskupiny. Tyto informace mohou naznačovat, že různé týmy, které patří do stejné organizace, vzájemně znají svou práci a operace. Společným sdílením kódu mohou týmy ušetřit stovky hodin a spoustu peněz. Namísto re-implementace funkcí, které již existují, se týmy mohou zaměřit na jiné věci a znovu použít kód už existující. Další výhodou znovu-použití kódu je, že již byl s největší pravděpodobností otestován v kybernetických operacích v reálném nasazení a tým, který jej vyvinul, měl zkušenosti s jeho používáním a zlepšováním. Na druhou stranu hrozí riziko, že když bezpečnostní společnosti takový kód odhalí, lze pomocí něj najít další vzorky a malwarové rodiny. Jedna detekovaná rodina tak může ohrozit více operací.

Z analýzy také vyplynulo, že kódy nejsou sdílené mezi jednotlivými aktéry. Nebyl dokonce objeven ani jeden případ, kdy by různé skupiny sdílely stejný kód. Je to velmi zajímavé a neočekávané. I když nemůžeme s jistotou vědět, co vede organizace v ruském APT ekosystému k podobnému nesdílení kódů, můžeme vytvořit několik hypotéz.

Rusko je jednou z nejpokročilejších a nejsilnějších zemí, co se týče kyberšpionáží, takže možnou variantou je, že si uvědomuje nevýhody sdílení kódu. Zabrání se tak opakovanému využití stejných nástrojů různými organizacemi a minimalizuje riziko, že jedna odhalená operace odhalí další aktivní operace a zhroutí se celý citlivý systém. Pak ale musí Rusko investovat obrovské množství peněz a lidské síly do psaní podobného kódu znovu a znovu, místo sdílení nástrojů, knihoven a rámců. Ale zase by to naznačovalo, že operační bezpečnost má pro ruské kyberskupiny neocenitelný význam.

Další hypotézou je, že různé organizace nesdílí kód z vnitropolitických důvodů. Výzkumný tým ale není dostatečně obeznámen s politikou a vztahy mezi ruskými zpravodajskými organizacemi, takže tuto hypotézu je potřeba brát opatrně.

Interaktivní mapu ruských APT hrozeb najdete zde:
https://apt-ecosystem.com/russia/map/

Check Point také vytvořil speciální nástroj „Russian APT Detector“, který mohou využít organizace, CERT týmy, výzkumníci i jednotlivci pro skenování souborů, složek nebo celého souborového systému a vyhledání ruských APT infekcí.

Více informací najdete v analýze bezpečnostního týmu Check Point Research:
https://research.checkpoint.com/russianaptecosystem/

Reklamy