Руски хакери Сеасхелл Близзарда пробију критичне циљеве инфраструктуре, упозорава Мицрософт

Опасна хакерска група повезана са Русијом, позната као Сеасхелл Близзард, интензивирала је своје нападе на критичну инфраструктуру широм света, изазивајући забринутост због дугорочне сајбер шпијунаже и деструктивних операција. Према недавном упозорењу Мицрософта, ова група не само да се инфилтрира у системе високе вредности, већ се и дубоко уграђује како би одржала дугорочну контролу над компромитованим мрежама.

Сеасхелл Близзард је озлоглашени руски глумац

Сеасхелл Близзард, такође праћен као АПТ44, БлацкЕнерги Лите, Сандворм, Телеботи и Воодоо Беар, представља значајну сајбер претњу најмање од 2009. Сматра се да група делује под руском војно-обавештајном агенцијом, ГРУ (посебно Јединица 74455). Сеасхелл Близзард је озлоглашен по својим деструктивним нападима, укључујући злогласни НотПетиа рансомваре који је осакатио глобална предузећа 2017. и малвер КиллДиск који је циљао украјинске критичне системе 2015. године.

Током година, Сеасхелл Близзард је циљао критичне инфраструктурне секторе као што су:

• Енергија
• Водовод
• Владине институције
• Војне мреже
• Телекомуникације
• Транспорт
• Мануфацтуринг

Ови напади нису случајни – они су уско повезани са руским војним циљевима, посебно у Украјини, где је сајбер рат био кључна компонента шире руске стратегије сукоба.

Нова подгрупа фокусирана на стални приступ

Најновији извештај Мајкрософта наглашава појаву подгрупе у оквиру Сеасхелл Близзарда која делује испод радара најмање четири године. Ова подгрупа је посвећена једној критичној мисији: добијању почетног приступа рањивим системима и успостављању дугорочне истрајности. Ово омогућава хакерима да задрже контролу над компромитованим системима месецима или чак годинама, спремни да покрену ометајуће нападе у сваком тренутку.

Назван БадПилот кампањом , овај напор траје од 2021. године, фокусирајући се на инфилтрирање циљева високе вредности како би се олакшали шири компромиси у мрежи. Методе подгрупе су описане као прикривене и веома опортунистичке, ослањајући се на рањивости у широко коришћеном софтверу и системима окренутим према Интернету.

Искоришћавање познатих рањивости

Нападачи користе добро познате безбедносне пропусте у популарним системима, укључујући:

• ЦоннецтВисе СцреенЦоннецт (ЦВЕ-2024-1709)
• Фортинет ФортиЦлиент ЕМС (ЦВЕ-2023-48788)
• Мицрософт Екцханге (ЦВЕ-2021-34473)
• Зимбра Цоллаборатион Суите (ЦВЕ-2022-41352)
• ОпенФире сервер за ћаскање (ЦВЕ-2023-32315)
• ТеамЦити Буилд Сервер (ЦВЕ-2023-42793)
• Мицрософт Оутлоок (ЦВЕ-2023-23397)
• ЈБОСС сервери (неодређени ЦВЕ)

Хакери користе агресиван приступ „прскај и моли“, скенирајући интернет у потрази за рањивим системима и масовно их нападају. Када уђу, уграђују се користећи алате као што су веб шкољке и софтвер за даљинско праћење и управљање (РММ), обезбеђујући дугорочну контролу над компромитованим системима.

Технике алармирања које се користе за одржавање контроле

Када је систем компромитован, подгрупа примењује више техника упорности:

• Примене Веб Схелл-а: Пружање бацкдоор приступа за даљинску контролу.
• РММ алати: Омогућавање дискретног приступа и даљег постављања злонамерног софтвера.

У неколико случајева, овај упорни приступ претходио је деструктивним нападима, што сугерише да хакери одржавају способност двоструке намене – шпијунажу и саботажу – у зависности од руских војних и геополитичких потреба.

Глобална експанзија: САД и Уједињено Краљевство су сада на удару

Иако је Украјина била примарни фокус сајбер операција Сеасхелл Близзарда, Мицрософтов извештај открива да је ова подгрупа проширила свој домет 2023. године, циљајући организације у Сједињеним Државама и Уједињеном Краљевству. Експанзија сигнализира опасну промену, што сугерише да руска књига о сајбер ратовању проширује свој обим и укључује западне нације.

Упорна и ескалирајућа претња

Мицрософт упозорава да ова подгрупа не успорава. У ствари, вероватно ће наставити да се развија и примењује иновативне технике за инфилтрирање у мреже широм света. Уз текући рат Русије у Украјини и растуће геополитичке тензије, сајбер напади на критичну инфраструктуру могли би да ескалирају у разорне последице у стварном свету.

Заштита ваше организације од мећаве морских шкољки

Организације у критичним секторима морају да предузму хитне мере за одбрану од ове упорне претње:

• Закрпи познате рањивости: Уверите се да су системи који користе СцреенЦоннецт, Фортинет, Екцханге, Зимбра, ОпенФире и други циљани софтвер потпуно ажурирани.
• Ојачајте безбедност мреже: примените вишефакторску аутентификацију (МФА), ограничите приступ осетљивим системима и надгледајте неуобичајене активности.
• Надгледање постојаности: Спроведите редовне безбедносне провере да бисте открили неовлашћене веб љуске, РММ алате или модификације страница за пријављивање и ДНС конфигурације.
• Спремност за реаговање на инциденте: Припремите се за потенцијалне ометајуће нападе тако што ћете развити свеобухватан план реаговања и обезбедити да резервне копије буду безбедне и редовно тестиране.

Финал Варнинг

Сеасхелл Близзард и његова подгрупа за почетни приступ представљају јасну и присутну опасност за критичну инфраструктуру на глобалном нивоу. Њихова немилосрдна потрага за упорним приступом могла би да послужи као претходница сајбер саботажи великих размера, способна да поремети енергетске мреже, снабдевање водом, транспортне системе и владине операције. Најновија открића Мицрософта су оштар подсетник: следећи велики сајбер напад би већ могао да вреба унутар критичних система, чекајући сигнал за удар.