Dive Brief:

  • Свързана с Русия хакерска група е проникнала в мрежата на корабостроителница в държава членка на НАТО по време на двумесечна кампания, насочена също срещу правителствени агенции и други критични производители, съобщиха изследователи от Symantec във вторник.
  • Операцията, проведена от действащи лица от APT28, известна още като Fancy Bear, е включвала както познат зловреден софтуер, така и мистериозен нов зловреден код.
  • От Symantec посочват, че хакерската кампания е имала ясна шпионска цел, и предупредиха потенциално уязвимите бизнеси да се защитят.

Dive Insight:

Новоразкритата кампания, свързана с Русия, е поредният пример за това как Москва използва киберпространството, за да търси всяко възможно предимство във войната си срещу Украйна и в геополитическия конфликт с НАТО.

Освен корабостроителницата, където опитът за проникване е бил успешен, хакерите от APT28 са взели на прицел и правоприлагащ орган, както и компания, произвеждаща авиокосмически двигатели. „Общата нишка между тези цели е тяхното значение за националната сигурност и политиката на отбрана“, пишат изследователите от Symantec, добавяйки, че обхватът на кампанията „съответства на усилия за събиране на разузнавателна информация, насочени широко срещу европейски правителствени и отбранителни цели, а не на единична изолирана операция“.

Symantec изгради представа за кампанията посредством форензик данни за зловредния софтуер Hookedge на атакуващите, разпространяван от групата чрез заразени документи на Microsoft Word. При атаката срещу корабостроителницата служител е отворил документа на 24 юли 2026 г., задействайки вградения зловреден код, който е генерирал няколко файла, установили комуникационна връзка между атакуващите и компрометираната машина. След това хакерите са събрали информация за компютъра и неговите файлове и са започнали да картографират мрежата на корабостроителя.

Въпреки че експертите по сигурност са наблюдавали използването на Hookedge от APT28 и в миналото, последната кампания срещу цели на НАТО е забележителна с това, че хакерите са използвали и нов инструмент за зареждане (loader), за да задействат активност въз основа на декриптиран файл. От Symantec заявиха, че не са успели да определят предназначението на лоудъра, тъй като не са успели да възстановят въпросния файл.

След първоначалния пик на активност в края на юли, зловредният софтуер на хакерите е останал в мрежата на корабостроителницата до края на септември. Последната регистрирана от Symantec активност от зареждащия инструмент е била на 24 септември, въпреки че според изследователите не е ясно дали тя представлява нови действия от страна на хакерите или продължаващо изпълнение на планирана задача (scheduled task), настроена предварително от атакуващите.

Symantec предостави индикатори за компрометиране (IoC) за зловредния софтуер и инфраструктурата на хакерите, за да могат организациите да следят за признаци на неоторизирано проникване.