Secondo i risultati di Symantec riportati da The Record, una campagna di cyber-spionaggio riconducibile alla Russia ha preso di mira un cantiere navale, un produttore di motori per aerei militari e un'agenzia delle forze dell'ordine in due Paesi NATO non identificati.
Symantec attribuisce l'attività ad APT28, noto anche come Fancy Bear, BlueDelta e Forest Blizzard. Il gruppo è collegato all'agenzia di intelligence militare russa, il GRU, ma in questo caso l'attribuzione resta una valutazione di Symantec.
L'operazione è durata almeno due mesi, a partire da una prima infezione confermata il 24 luglio. Attività dannosa correlata era ancora rilevata il 24 settembre. L'analista di Symantec Dick O'Brien ha dichiarato che l'attività di settembre, successiva a una ricerca separata pubblicata ad agosto, indica che la campagna è proseguita.
Quell'arco temporale riferito all'intera campagna non significa che gli attaccanti abbiano mantenuto un accesso ininterrotto a ogni vittima. I ricercatori non sono riusciti a stabilire un accesso continuo per l'intero periodo, mentre O'Brien ha spiegato che in alcune reti gli intrusi sono rimasti per alcune settimane.
Un allegato Word ha aperto la strada verso un cantiere navale
Nel caso del cantiere navale, a luglio un dipendente ha aperto un documento Microsoft Word malevolo, recapitato come allegato email. Dopo aver ottenuto l'accesso, gli attaccanti hanno esaminato la rete interna dell'organizzazione e hanno cercato di raccogliere credenziali di accesso.
Tra gli strumenti iniziali figurava Hookedge, una backdoor in grado di stabilire l'accesso, raccogliere informazioni sulla rete e rubare credenziali. Secondo il rapporto, Insikt Group di Recorded Future ha documentato Hookedge per la prima volta ad agosto.
Nella settimana successiva all'apertura del documento, gli attaccanti sono tornati più volte su un computer compromesso. Hanno inoltre installato uno strumento precedentemente non documentato, che decifra codice malevolo e lo esegue direttamente in memoria. I ricercatori non hanno stabilito la sua finalità ultima.
La presenza di un componente in memoria rende più complessa la rilevazione, perché le prove rilevanti potrebbero non limitarsi ai file convenzionali salvati su disco. Per ricostruire l'attività successiva all'apertura di un documento sospetto, possono quindi essere importanti i dati di telemetria di email, endpoint, autenticazione e rete.
Il furto di dati sensibili resta non confermato
I ricercatori non sono riusciti a stabilire se gli attaccanti abbiano sottratto con successo informazioni sensibili dagli ambienti coinvolti.
O'Brien ha valutato che l'intelligence legata alla difesa fosse un obiettivo probabile, considerando le organizzazioni scelte. Ha inoltre detto che un accesso durato diverse settimane potrebbe aver creato opportunità per ottenere dati. Nessuno dei due elementi conferma che le informazioni siano state effettivamente esfiltrate.
L'identità delle organizzazioni e dei due Paesi NATO non è stata resa pubblica. Symantec interpreta la combinazione di obiettivi nel settore industriale della difesa e istituzioni governative come parte di un più ampio sforzo di raccolta di intelligence russa rivolto alle istituzioni europee.
Priorità difensive per le organizzazioni potenzialmente esposte
L'attività non è stata presentata come sfruttamento di una specifica vulnerabilità software, quindi la risposta immediata non ruota attorno a una patch precisa. Le organizzazioni europee dei settori difesa, aerospazio e forze dell'ordine dovrebbero piuttosto verificare se i dipendenti abbiano ricevuto o aperto allegati Word inattesi, e correlare tali eventi con successivi accessi alle credenziali, attività di ricognizione della rete e ripetute attività sul computer del destinatario.
I sistemi che mostrano segnali compatibili con una compromissione devono essere isolati mentre gli investigatori stabiliscono l'estensione dell'accesso. Le credenziali accessibili da tali sistemi vanno considerate potenzialmente esposte e sostituite secondo il processo di risposta agli incidenti dell'organizzazione. I difensori dovrebbero inoltre esaminare le prove in memoria, sugli endpoint e in rete, senza affidarsi solo alle scansioni dei file lasciati su disco.
L'attività più recente della campagna è stata rilevata il 24 settembre, rendendo particolarmente rilevanti i controlli retrospettivi per le organizzazioni che potrebbero aver ricevuto email sospette con documenti allegati a partire da luglio.
