Спецслужби Німеччини, ФБР та АНБ попереджають про масштабну хакерську кампанію, спрямовану проти роутерів TP-Link та інших виробників. За атаками стоїть російське угруповання Fancy Bear (APT 28), яке використовує вразливості у маршрутизаторах для перехоплення інтернет-трафіку та викрадення конфіденційної інформації.

Хто атакує і навіщо

Угруповання Fancy Bear, пов’язане з російською військовою розвідкою ГРУ, раніше здійснювало кібератаки на компанії, що підтримують Україну, на німецьку службу управління авіарухом та штаб-квартиру партії СДПН у Німеччині. Тепер хакери переключилися на інфраструктуру звичайних користувачів і організацій.

Федеральне відомство із захисту конституції Німеччини (BfV) повідомило, що угруповання «інфільтрувало вразливі роутери TP-Link по всьому світу з метою отримання військової інформації, державних даних або відомостей про критичну інфраструктуру». За даними Spiegel Netzwelt, ще в середині березня низку компаній та приватних осіб було повідомлено про загрозу — зокрема, з переліком уражених пристроїв. У розслідуванні також беруть участь ФБР та АНБ США. Перші задокументовані інциденти датуються щонайменше 2024 роком, а в Німеччині вже ідентифіковано 30 пристроїв, які могли бути використані для таких атак.

Як працює атака

Застосована техніка отримала назву DNS hijacking — «викрадення DNS». Зламавши роутер, хакери змінюють налаштування DNS-серверів, унаслідок чого користувач замість справжнього сайту потрапляє на підроблений. Мета — змусити людину ввести логін, пароль або банківські дані. В окремих випадках шкідливе ПЗ потрапляє на пристрій через завантаження файлів із таких фальшивих ресурсів.

Як захиститися

Уразливість у роутерах TP-Link, яку використовують зловмисники, вже виправлена виробником. Власникам таких пристроїв рекомендується якнайшвидше перевірити наявність актуального оновлення прошивки та встановити його через панель адміністрування роутера.

Також варто звертати увагу на типові ознаки DNS hijacking:

• часті перенаправлення на сторонні сайти;
• попередження від браузера або антивірусного програмного забезпечення;
• помітне збільшення кількості спливаючих вікон і підозрілої реклами;
• незвично тривале завантаження сторінок попри стабільне з’єднання;
• змінені адреси DNS-серверів у налаштуваннях роутера.

Ця стаття Fancy Bear: російські хакери атакують роутери TP-Link для викрадення паролів і держданих раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Компанія ESET повідомляє про виявлення активності російських кібершпигунів, спрямованої на українські державні установи або оборонні компанії в Болгарії та Румунії з метою викрадення конфіденційних даних із певних облікових записів електронної пошти. Варто зазначити, що деякі з цих оборонних підприємств виробляють зброю радянських часів для відправлення в Україну. Серед інших цілей – уряди країн Африки, ЄС та Південної Америки. За цим, найімовірніше, стоїть пов’язана з росією група кібершпигунів Sednit (також відома як Fancy Bear).

«Минулого року ми зафіксували, як різні уразливості XSS використовувалися під час атак на додаткове програмне забезпечення для вебпошти: Horde, MDaemon та Zimbra. Sednit також почала використовувати новішу уразливість CVE-2023-43770 у Roundcube. Уразливість CVE-2024-11182 у MDaemon, яка наразі виправлена, була «0-денною» уразливістю, найімовірніше, виявлена ​​Sednit, тоді як уразливості для Horde, Roundcube та Zimbra вже були відомі та виправлені», — коментує Метьє Фау, дослідник ESET.

Як діють зловмисники?

Група Sednit надсилає експлойти XSS електронною поштою, які призводять до виконання шкідливого коду JavaScript у контексті вебсторінки клієнта вебпошти, що працює у вікні браузера. Таким чином, лише дані, доступні з облікового запису жертви, можуть бути прочитані та перехоплені.

Щоб експлойт спрацював, жертва повинна відкрити повідомлення електронної пошти на уразливому порталі вебпошти. Це означає, що електронний лист має обійти будь-яку фільтрацію спаму, а тема має бути достатньо переконливою, щоб спонукати жертву прочитати електронне повідомлення. Саме тому зловмисники використовують у шкідливих листах назви відомих ЗМІ, такі як українське інформаційне видання Kyiv Post або болгарський новинний портал News.bg. Серед заголовків, які використовували шпигуни: «СБУ заарештувала банкіра, який працював на ворожу військову розвідку в Харкові» або «Путін домагається від Трампа прийняття російських умов у двосторонніх відносинах».

Зловмисники запускають компоненти JavaScript SpyPress.HORDE, SpyPress.MDAEMON, SpyPress.ROUNDCUBE та SpyPress.ZIMBRA. Вони здатні викрасти облікові дані, перехоплювати адресну книгу, контакти та історії входів, а також повідомлення електронної пошти. SpyPress.MDAEMON може налаштувати обхід двофакторної автентифікації, зокрема перехоплювати секретний код двофакторної автентифікації та створювати пароль програми, який дозволяє зловмисникам отримати доступ до поштової скриньки з програми.

«Протягом останніх двох років сервери вебпошти, такі як Roundcube та Zimbra, були основною мішенню для кількох шпигунських груп, таких як Sednit, GreenCube та Winter Vivern. Оскільки багато організацій вчасно не оновлюють свої сервери вебпошти, а уразливості активуются віддалено шляхом відправки повідомлень електронної пошти, зловмисникам дуже легко націлюватися на такі сервери для викрадення електронних листів», — пояснює дослідник ESET.

Група Sednit, також відома як APT28, Fancy Bear, Forest Blizzard або Sofacy, діє принаймні з 2004 року. У Міністерстві юстиції США назвали групу однією із відповідальних за злам Національного комітету Демократичної партії (DNC) безпосередньо перед виборами 2016 року у США та пов’язали групу з ГРУ. Також припускають, що група відповідальна за злам глобальної телевізійної мережі TV5Monde, витік електронної пошти Всесвітнього антидопінгового агентства (WADA) та багато інших інцидентів.

Щоб не стати жертвою подібних атак, слід уникати відкриття підозрілих повідомлень чи листів та завантаження невідомих файлів в електронній пошті. Також варто забезпечити потужний кіберзахист організацій, наприклад, за допомогою комплексного рішення ESET PROTECT Elite для запобігання загрозам, їх виявлення та швидкого реагування (XDR), а також управління уразливостями та виправленнями.

Ця стаття Російські хакери атакують державні установи й оборонні компанії в Україні та ЄС раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

За даними дослідників безпеки, кібернаступ на Україну продовжується зловмисними атаками та поширенням дезінформації та фейкових новин.

Згідно з дослідженням компанії Mandiant, російські, проросійські та білоруські кібератаки використовували найповніший набір методів для досягнення «тактичних і стратегічних цілей, безпосередньо пов’язаних із самим конфліктом».

Однак вплив відчувався ширше, оскільки хакери, які працюють на інші країни, включаючи Китай та Іран, намагаються просувати і свої плани.

«Хоча ці операції становили величезну загрозу для України, вони також загрожували США та іншим західним країнам», – кажуть дослідники Mandiant. «У результаті, ми очікуємо, що такі операції, включаючи операції, пов’язані з кіберзагрозами та іншими потенційно руйнівними атаками, триватимуть у міру розвитку конфлікту».

Ще до початку російського вторгнення в Україну, у січні, країна та веб-сайти її уряду піддалися зіпсуванню та фальсифікації , а російських хакерів звинувачували в атаці.

Росія вторглася 24 лютого. Напередодні Державна служба спеціального зв’язку та захисту інформації України повідомила, що сайти Міністерства закордонних справ, Міністерства оборони, Служби безпеки та різних банків, зокрема, зазнали відключень через DDoS-атаку.

Відтоді кібернаступи тривають.

«Поширилися узгоджені інформаційні операції, включаючи ті, які збігалися з руйнівною діяльністю кіберзагроз, до кампаній, що використовують скоординовані та неавтентичні мережі облікових записів для просування сфабрикованого вмісту та бажаних наративів на різних платформах соціальних мереж, веб-сайтах і форумах», – кажуть дослідники Mandiant.

Що стосується Росії, дослідники кажуть, що більшість поточних дій є «руйнівною» і включає розгортання шкідливих програм wiper.

ESET задокументував штами, зокрема CaddyWiper , які використовуються в цільових обмежених кампаніях. Деякі варіанти wiper виявлено в мережах українських організацій.

Інша версія зловмисного програмного забезпечення wiper, що отримала назву Junkmail, була запущена в мережі, що належить українській організації, за кілька годин до виступу Зеленського перед Конгресом США.

Але шкідливе програмне забезпечення – це не єдина діяльність, яка викликає занепокоєння. У березні хакери, відомі як Secondary Infektion, запустили та поширили фейкове повідомлення, в якому стверджується, що Україна капітулювала через веб-сайт «Україна 24», і навіть створили фальшиву модель штучного інтелекту (ШІ) президента України Зеленського, який передає повідомлення.

Хоча ця група продовжує рекламувати фейкові історії,  Ghostwriter також був активним останнім часом. У лютому команда реагування на комп’ютерні надзвичайні ситуації в Україні (CERT-UA) попередила, що група, яка також відстежується як UNC1151, відповідальна за низку кампаній дезінформації, спроб фішингу та нападів на українські цілі. Угруповання, очевидно, пов’язане з державними інтересами Білорусі.

Нова кампанія, пов’язана з Ghostwriter, виявлена ​​Mandiant, просуває неправдиві розповіді про біженців, в той час як інші групи просувають кампанію дезінформації, спрямовану на «агресивний захист російських стратегічних інтересів», за словами дослідників. Здається, ці дії збігаються з Ghostwriter, що свідчить про те, що між командами може бути співпраця. Крім того, фейкові наративи поширюються, щоб спробувати зіпсувати відносини між Україною та Польщею. Ці історії містять вміст, який зображує біженців як тягар.

APT28, також відомий як Fancy Bear, продовжує публікувати контент на каналах Telegram, пов’язаний з конфліктом, зосереджуючись на «послабленні довіри українців до своєї влади та її реакції на вторгнення».

Ця стаття Кібератаки та діяльність з дезінформації проти України продовжуються раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня