AGEWHEEZE ROTTA

Kyberturvallisuusanalyytikot ovat paljastaneet kohdennetun tietojenkalasteluoperaation, jossa uhkatoimijat esiintyivät Ukrainan tietoturvayksikön nimissä levittääkseen AGEWHEEZE-nimistä etähallintatyökalua. UAC-0255-ryhmään liittyvä kampanja perustui 26. ja 27. maaliskuuta 2026 lähetettyihin harhaanjohtaviin sähköposteihin, joissa vastaanottajia kehotettiin asentamaan "erikoisohjelmistoja".

Nämä sähköpostit sisälsivät linkkejä salasanalla suojattuun ZIP-arkistoon, joka oli Files.fm-sivustolla. CERT_UA_protection_tool.zip-niminen arkisto esiteltiin laillisena tietoturvaohjelmana, mutta se toimitti sen sijaan haitallisia tiedostoja. Jotkin viestit olivat peräisin väärennetystä osoitteesta 'incidents@cert-ua.tech', mikä vahvisti entisestään aitouden illuusiota.

Kohdeprofiili ja hyökkäyksen ulottuvuus

Operaatio levitti laajan verkon ja kohdisti kohteekseen monenlaisia organisaatioita, jotka ovat kriittisiä kansalliselle infrastruktuurille ja julkisille palveluille. Näihin kuuluivat:

• Hallitus ja valtion laitokset
• Lääketieteelliset ja terveydenhuollon laitokset
• Turvallisuus- ja puolustusalan yritykset
• Koulutusorganisaatiot
• Rahoituslaitokset
• Ohjelmistokehitysyritykset

Laajasta kohdentamisstrategiasta huolimatta kampanjan kokonaistehokkuus vaikuttaa rajalliselta. Tartuntoja vahvistettiin vain pieni määrä, ja ne vaikuttivat pääasiassa oppilaitosten työntekijöiden henkilökohtaisiin laitteisiin.

AGEWHEEZE:n sisällä: Kyvyt ja pysyvyysmekanismit

AGEWHEEZE on Go-pohjainen etäkäyttötroijalainen, joka on suunniteltu laajaan järjestelmän hallintaan ja valvontaan. Käyttöönoton jälkeen se muodostaa yhteyden komento- ja ohjauspalvelimeen osoitteessa 54.36.237.92 WebSocket-protokollien avulla.

Haittaohjelma mahdollistaa hyökkääjien suorittaa laajan kirjon haitallisia toimintoja, mukaan lukien:

• Mielivaltaisten komentojen suorittaminen ja järjestelmäprosessien hallinta
• Tiedostotoimintojen suorittaminen ja tallennettujen tietojen käsittely
• Kuvakaappausten ottaminen ja käyttäjien toiminnan seuranta
• Hiiren ja näppäimistön syötteiden jäljittely
• Leikepöydän sisällön muuttaminen
• Pysyvyyden ylläpitäminen ajoitettujen tehtävien, Windowsin rekisterin muutosten tai käynnistyshakemiston sijoittelun avulla

Tämä ominaisuuksien yhdistelmä tekee AGEWHEEZE:stä monipuolisen työkalun vakoiluun, sivuttaisliikkeeseen ja pitkäaikaiseen järjestelmän vaarantamiseen.

Petollinen infrastruktuuri ja tekoälyavusteinen valmistus

Huijausverkkotunnuksen 'cert-ua.tech' tutkinta paljasti merkkejä automatisoidusta tai tekoälyn avustamasta kehityksestä. Verkkosivuston HTML-lähdekoodissa oli huomattava venäjänkielinen kommentti: 'С Любовью, КИБЕР СЕРП' ('Rakkaudella, CYBER SERP'), joka viittasi siihen, että sivuston on omistanut itseään Cyber Serpiksi kutsuva ryhmä.

Cyber Serp on väittänyt olevansa yhteydessä ukrainalaisiin kybermaanalaisiin piireihin Telegram-kanavansa kautta. Kanava perustettiin marraskuussa 2025 ja sillä on yli 700 tilaajaa. Ryhmä väitti julkisesti, että tietojenkalastelukampanja kohdistui jopa miljoonaan sähköpostitiliin ja johti yli 200 000 vaarantuneeseen laitteeseen. Luvut ylittävät merkittävästi riippumattomien arvioiden tulokset.

Ristiriitaiset väitteet ja laajempi uhkatoiminta

Cyber Serp on yrittänyt asemoida itsensä valikoivana toimijana väittäen, että sen toiminta ei vaikuttaisi tavallisiin kansalaisiin. Tällaiset lausunnot ovat kuitenkin ristiriidassa laajamittaisten tietojenkalastelukampanjoiden summittaisen luonteen kanssa.

Erillisessä tapauksessa ryhmä ilmoitti olevansa vastuussa Cipherin tietomurrosta väittäen pääsyn palvelintietoihin, asiakastietokantoihin ja omaan lähdekoodiin. Cipher vahvisti myöhemmin rajoitetun tietomurron, joka koski työntekijän tunnistetietoja, mutta korosti, että:

• Ydininfrastruktuuri pysyi turvassa ja toiminnassa
• Kyseisellä tilillä oli pääsy vain yhteen, ei-arkaluontoiseen projektiin.

Tämä ristiriita korostaa uhkatoimijoiden yleistä taktiikkaa, jossa he liioittelevat vaikutusvaltaansa ja uskottavuuttaan vahvistaakseen havaittua vaikutusvaltaansa.

Arviointi ja turvallisuusvaikutukset

Kampanja osoittaa henkilöllisyyden anastamisen jatkuvan tehokkuuden, erityisesti luotettavien kansallisten kyberturvallisuusyksiköiden avulla. Vaikka välittömät vaikutukset olivat rajalliset, AGEWHEEZE:n tekninen hienostuneisuus ja levitysyritysten laajuus viestivät jatkuvasta ja kehittyvästä uhkakuvasta.

Organisaatioita kehotetaan vahvistamaan sähköpostin vahvistusprosesseja, tutkimaan pyytämättömiä liitteitä ja kouluttamaan henkilöstöä tunnistamaan auktoriteettitahoihin liittyvät henkilöllisyyden anastamisyritykset.