Уютный медведь - Cozy Bear

Уютный медведь
Формированиеc. 2008[1]
ТипПостоянная угроза повышенной сложности
ЦельКибершпионаж, кибервойна
Область, край
Россия
МетодыСпирфишинг, вредоносное ПО
Официальный язык
русский
Головная организация
либо ФСБ или СВР[2][3]
ПринадлежностиНеобычный медведь
Ранее назывался
APT29, Office Monkeys, CozyCar, The Dukes, CozyDuke, Grizzly Steppe (в сочетании с Необычный медведь )

Уютный медведь, классифицируется как продвинутая постоянная угроза APT29, это русский группа хакеров считается связанным с одним или несколькими спецслужбы России. Голландцы Служба общей разведки и безопасности (AIVD) сделал вывод из видеозаписи с камеры видеонаблюдения, что ее возглавляет российский Служба внешней разведки (СВР).[4] Фирма по кибербезопасности CrowdStrike также ранее предполагалось, что это может быть связано либо с российским Федеральная служба безопасности (ФСБ) или СВР.[2] Другие прозвища группы дали другие фирмы, занимающиеся кибербезопасностью, в том числе Офисные обезьяны, CozyCar,[5] Герцоги (по Volexity), и CozyDuke[6][7] (от F-Secure ).

Методы и технические возможности

Схема, показывающая Cosy Bear и Необычный медведь процесс использования вредоносного ПО для проникновения в цель

Лаборатория Касперского определили, что самые ранние образцы MiniDuke вредоносное ПО отнесена к дате группы с 2008 года.[1] Исходный код был написан на язык ассемблера.[8] Symantec считает, что Cozy Bear скомпрометировал дипломатические организации и правительства как минимум с 2010 года.[9]

Вредоносная программа CozyDuke использует задняя дверь и капельница. Вредоносная программа передает данные на сервер управления и контроля. Злоумышленники могут адаптировать вредоносное ПО к среде.[1] Компоненты бэкдора вредоносного ПО Cozy Bear со временем обновляются с изменениями в криптография, троянские функции и средства защиты от обнаружения. Скорость, с которой Cozy Bear разрабатывает и развертывает свои компоненты, напоминает набор инструментов Fancy Bear, который также использует инструменты CHOPSTICK и CORESHELL.[10]

Набор вредоносных программ Cozy Bear's CozyDuke структурно и функционально аналогичен компонентам второго этапа, используемым в ранних операциях Miniduke, Cosmicduke и OnionDuke. Модуль второй стадии вредоносного ПО CozyDuke, Show.dll, по-видимому, был построен на той же платформе, что и OnionDuke, что предполагает, что авторы работают вместе или являются одними и теми же людьми.[10] Кампании и используемые ими наборы вредоносных программ называются Dukes, включая Cosmicduke, Cozyduke и Miniduke.[9] CozyDuke связан с кампаниями MiniDuke и CosmicDuke, а также с кампанией кибершпионажа OnionDuke. Каждая группа угроз отслеживает свои цели и использует наборы инструментов, которые, вероятно, были созданы и обновлены русскоговорящими.[1] После раскрытия MiniDuke в 2013 году обновления вредоносного ПО были написаны на C /C ++ и он был упакован новым обфускатор.[8]

Кози Медведь подозревается в причастности к «ХАММЕРТОССУ» инструмент удаленного доступа который использует часто посещаемые веб-сайты, такие как Twitter и GitHub к данные команды реле.[11]

Seaduke - низкопрофильный Троян используется только для небольшого набора важных целей. Обычно Seaduke устанавливается в системах, уже зараженных гораздо более распространенным CozyDuke.[9]

Атаки

У Cozy Bear разные проекты с разными группами пользователей. В центре внимания проекта Nemesis Gemina - военный, государственный, энергетический, дипломатический и телекоммуникационный секторы.[8] Имеющиеся данные свидетельствуют о том, что целью Cozy Bear были коммерческие предприятия и государственные организации в Германии, Узбекистане, Южной Корее и США, в том числе Государственный департамент США и белый дом в 2014.[10]

Офисные обезьяны (2014)

В марте 2014 года в одной из сетей частного исследовательского института в Вашингтоне, округ Колумбия, был обнаружен Cozyduke (Trojan.Cozer). Затем Cozy Bear начал рассылку по электронной почте, пытаясь соблазнить жертв щелкнуть по флэш-видео с офисными обезьянами, которое также будет включать вредоносные исполняемые файлы.[9][1] К июлю группа взломала правительственные сети и приказала зараженным Cozyduke системам установить Miniduke в зараженной сети.[9]

Летом 2014 года цифровые агенты голландских Служба общей разведки и безопасности проникла Уютный Медведь. Они обнаружили, что эти российские хакеры нацелены на Демократическую партию США, Государственный департамент и Белый дом. Их доказательства повлияли на решение ФБР о возбуждении расследования.[4]

Пентагон (август 2015 г.)

В августе 2015 года Cozy Bear был привязан к целевой фишинг кибератака против Пентагон Эл. адрес Система, вызвавшая отключение всей несекретной системы электронной почты Объединенного штаба и доступ в Интернет во время расследования.[12][13]

Национальный комитет Демократической партии (2016)

В июне 2016 года Кози Медведь был замешан вместе с хакерской группой. Необычный медведь в Кибератаки Национального комитета Демократической партии.[2] Хотя обе группы присутствовали в Национальный комитет Демократической партии в то же время, они, похоже, не знали друг друга, каждый независимо воруя одни и те же пароли и иным образом дублируя свои усилия.[14] Команда криминалистов CrowdStrike определила, что, хотя Cozy Bear был в сети DNC более года, Fancy Bear пробыл там всего несколько недель.[15] Более изощренные методы ведения торговли и интерес Cozy Bear к традиционному долгосрочному шпионажу позволяют предположить, что группа происходит из отдельного российского разведывательного агентства.[14]

Аналитические центры и НПО США (2016 г.)

После Президентские выборы в США 2016, Cozy Bear была связана с серией скоординированных и хорошо спланированных целевых фишинговых кампаний против базирующихся в США аналитических центров и неправительственных организаций (НПО).[16]

Правительство Норвегии (2017)

3 февраля 2017 г. Служба безопасности норвежской полиции (PST) сообщил, что были предприняты попытки взломать учетные записи электронной почты девяти человек в Министерство обороны, Министерство иностранных дел, а Лейбористская партия. Эти действия приписывались Cozy Bear, чьи цели включали Норвежское управление радиационной защиты, Руководитель отдела PST Арне Кристиан Хогстойл и неназванный коллега. премьер-министр Эрна Сольберг назвал эти действия «серьезной атакой на наши демократические институты».[17] Сообщается, что нападения были совершены в январе 2017 года.[18]

Голландские министерства (2017)

В феврале 2017 года выяснилось, что Cozy Bear и Fancy Bear предприняли несколько попыток взлома голландских министерств, в том числе Министерство общих дел, за предыдущие шесть месяцев. Роб Бертоли, заявил глава AIVD EenVandaag что хакеры были русскими и пытались получить доступ к секретным правительственным документам.[19]

На брифинге в парламенте министр внутренних дел и по делам королевства Нидерландов Рональд Пластерк объявил, что голосование за Всеобщие выборы в Голландии в марте 2017 г. будет считаться вручную.[20]

Операция Призрак

Подозрения в том, что Cozy Bear прекратил работу, развеялись в 2019 году после обнаружения трех новых семейств вредоносных программ, приписываемых Cozy Bear: PolyglotDuke, RegDuke и FatDuke. Это показывает, что Cozy Bear не прекратил работу, а скорее разработал новые инструменты, которые было труднее обнаружить. Взлом целевых объектов с использованием этих недавно обнаруженных пакетов в совокупности именуется Operation Ghost.[21]

Данные о вакцине против COVID-19 (2020 г.)

В июле 2020 года Cozy Bear обвинил АНБ, NCSC и CSE попыток украсть данные о вакцинах и лечении от COVID-19 разрабатывается в Великобритании, США и Канаде.[22][23][24][25]

Смотрите также

использованная литература

  1. ^ а б c d е "Отношение MiniDuke 'CozyDuke' нацелено на Белый дом". Threat Intelligence Times. 27 апреля 2015 г. Архивировано с оригинал 11 июня 2018 г.. Получено 15 декабря 2016.
  2. ^ а б c Альперович, Дмитрий. "Медведи посреди: вторжение в Национальный комитет Демократической партии". Блог CrowdStrike. Получено 27 сентября 2016.
  3. ^ https://www.valisluureamet.ee/pdf/raport-2018-ENG-web.pdf
  4. ^ а б Хьюиб Моддерколк (25 января 2018 г.). «Голландские агентства предоставляют важную информацию о вмешательстве России в выборы в США». de Volkskrant.
  5. ^ "Кто такой УЮТНЫЙ МЕДВЕДЬ?". CrowdStrike. 19 сентября 2016 г.
  6. ^ «Исследование F-Secure связывает CozyDuke с высококлассным шпионажем» (Пресс-релиз). 30 апреля 2015 г.. Получено 6 января 2017.
  7. ^ «Кибератаки, связанные со сбором российской разведки» (Пресс-релиз). F-Secure. 17 сентября 2015 г.. Получено 6 января 2017.
  8. ^ а б c Группа глобальных исследований и анализа «Лаборатории Касперского» (3 июля 2014 г.). «Минидук вернулся: Немезида Гемина и студия Botgen». Securelist.
  9. ^ а б c d е ""Forkmeiamfamous ": Seaduke, последнее оружие в арсенале герцога". Symantec Security Response. 13 июля 2015 г.
  10. ^ а б c Баумгартнер, Курт; Райу, Костин (21 апреля 2015 г.). "APT CozyDuke". Securelist.
  11. ^ «ХАММЕРТОСС: Скрытые тактики определяют российскую группу киберугроз». FireEye. 9 июля 2015 г.. Получено 7 августа 2015.
  12. ^ Кубе, Кортни (7 августа 2015 г.). «Россия взламывает компьютеры Пентагона: NBC, со ссылкой на источники». Получено 7 августа 2015.
  13. ^ Старр, Барбара (7 августа 2015 г.). «Официально: Россию подозревают во вторжении на почтовый сервер Объединенного комитета начальников штабов». Получено 7 августа 2015.
  14. ^ а б "Медведь на медведя". Экономист. 22 сентября 2016 г.. Получено 14 декабря 2016.
  15. ^ Уорд, Вики (24 октября 2016 г.). "Человек, возглавляющий борьбу Америки с русскими хакерами - худший кошмар Путина". Esquire.
  16. ^ "PowerDuke: Широко распространенные кампании фишинга после выборов, направленные на аналитические центры и НПО". Volexity. 9 ноября 2016 г.
  17. ^ Стэнглин, Дуг (3 февраля 2017 г.). «Норвегия: российские хакеры атаковали шпионское агентство, оборону, лейбористскую партию». USA Today.
  18. ^ "Norge Utsatt for et omfattende hackerangrep". NRK. 3 февраля 2017 года.
  19. ^ Modderkolk, Huib (4 февраля 2017 г.). "Russen faalden bij hackpogingen ambtenaren op Nederlandse Ministeries". De Volkskrant (на голландском).
  20. ^ Класки, Питер (3 февраля 2017 г.). «Голландцы выбирают ручной подсчет после сообщений о взломе русских». The Irish Times.
  21. ^ «Операция« Призрак »: герцоги не вернулись - они никогда не уходили». Исследования ESET. 17 октября 2019.
  22. ^ «АНБ объединяется с NCSC, CSE, DHS CISA, чтобы разоблачить российские спецслужбы, нацеленные на COVID». Центральная служба безопасности Агентства национальной безопасности. Получено 25 июля 2020.
  23. ^ «Заявление CSE об активности угроз, направленных на разработку вакцины против COVID-19 - четверг, 16 июля 2020 г.». cse-cst.gc.ca. Организация безопасности связи. 14 июля 2020 г.. Получено 16 июля 2020.
  24. ^ Джеймс, Уильям (16 июля 2020 г.). «Россия пытается взломать и украсть данные о вакцине против COVID-19, - заявляет Великобритания». Рейтер Великобритания. Получено 16 июля 2020.
  25. ^ «Великобритания и ее союзники разоблачают атаки России на разработку вакцины против коронавируса». Национальный центр кибербезопасности. 16 июля 2020 г.. Получено 16 июля 2020.