Руски хакери удариха правителството на САЩ и организации от цял свят по много умел начин

Руски хакери са проникнали в мрежи, които принадлежат на правителството на САЩ и различни частни организации от цял свят. Мащабната шпионска кампания използва глобалната верига за доставки на софтуер, за да инфектира целите си.

Министерствата на финансите и търговията на САЩ са сред правителствените агенции, които са засегнати. Множество източници потвърждават това пред различни медии. Става ясно, че атаките са водени от Cozy Bear, хакерска група, за която се смята, че е част от FSB – Федералната служба за сигурност на Русия.

Известната фирма за услуги по сигурност FireEye е тази, която е установила атаката и механизма и на действие

Споделят, че атакуващите използват Orion, широкоразпространен бизнес софтуер на SolarWinds. Придобиват контрол над механизма за обновяването му и така инсталират малуер, който е наречен Sunburst.

От FireEye са засекли подобна активност при множество организации по цял свят. Това включва правителствени, консултантски, технологични, телекомуникационни и добивни структури – в Европа, Северна Америка, Азия и Средния изток. Има предпоставка да се вярва, че има още жертви в други страни и по други вертикали.

От FireEye са предупредили всички засегнати, които са идентифицирали.

От Microsoft обясняват, че след като хакерите употребят механизма за обновление на Orion, за да получат достъп до мрежите, те крадат сертификати за подписване. Така могат да се представят за всеки от съществуващите потребители и акаунти в дадената организация. И това включва акаунти с много сериозни привилегии.

В допълнителна публикация от FireEye обясняват, че при няколко от организациите инфекцията се е случило доста отдавна – през миналата пролет.

„Нашият анализ индикира, че при този тип атака няма саморазпространение. Всяка една от тези атаки изисква прецизно планиране и ръчно намеса, за да се получат нещата.“, обяснява от компанията.

От SolarWinds казват, че продуктите за мониторинг, които са пуснати през март и юни тази година може да са тайно оръжие в „изключително сложна“ атака от страна на национална държава.

Какво представлява тази група Cozy Bear?

Тя е класифицирана като напреднала постоянна заплаха APT29. Смята се, че хакерите са руснаци и, че те са свързани с една или повече разузнавателни агенции на Русия. Холандската служба за разузнаване и сигурност заключва от кадри на охранителни камери, че Cozy Bear се ръководи от Руската служба за външно разузнаване.

Фирмата за киберсигурност CrowdStrike смята, че групата е свързана или с руското разузнаване или с Федералната служба за сигурност.

Групата може да се срещне и под наименованията Office Monkeys, CozyCar, The Dukes и CozyDuke.