Analyse af russiske cyberangreb mod vestlige virksomheder, der støtter Ukraine

Russiske cyberangreb mod vestlige virksomheder, der støtter Ukraine, stiger i omfang, da trusselsaktører udnytter falske browseropdateringer til at sprede avanceret malware. En ny analyse viser, hvordan statsstøttede angreb smelter sammen med traditionel cyberkriminalitet, hvilket skaber et stadig mere komplekst trusselslandskab, selv for nordiske organisationer.

En russisk hackergruppe udnytter falske browseropgraderinger til at sprede malware til lande, der støtter Ukraine, og demonstrerer dermed, hvordan cyberkriminalitet er blevet grænseløs, og hvordan de samme teknikker bruges i både statsstøttede angreb og ransomware-kampagner.

Russisk cyberangreb er blevet en af de mest betydelige cybersikkerhedstrusler mod virksomheder og organisationer i Europa og Norden.

Hackergrupper med bånd til Rusland udnytter legitime og ofte betroede websteder til at sprede avanceret malware til vestlige virksomheder, der samarbejder med eller yder hjælp til Ukraine. En nylig analyse fra cybersikkerhedsfirmaet Arktisk ulv påpeger, at dele af den russiske militære efterretningstjeneste GRU sandsynligvis står bag angrebene.

Analysen viser, at angrebene er en ny variant af den velkendte SocGholish-metode. Angrebet er baseret på at plante skadelig kode på hjemmesider, hvor besøgende bliver narret til at tro, at deres browser skal opdateres. Når brugeren klikker på opdateringen, får angriberne mulighed for at tage det næste skridt i angrebskæden. Det betyder, at selv sikkerhedsbevidste brugere risikerer ubevidst at igangsætte alvorlige indbrud.

Udnyttelse af falske opdateringer er en etableret teknik blandt cyberkriminelle. Det nye i denne sag er, at angriberne kan forbindes med Rusland, og at de går efter specifikke organisationer i Vesten, der støtter Ukraine på forskellige måder, siger Petter Glenstrup, nordisk direktør hos Arctic Wolf.

Analysen beskriver en hændelse, hvor en medarbejder klikkede på en falsk browseropdatering på et inficeret websted. Pop-up-vinduet virkede legitimt, men aktiverede malware, der straks gav angriberne adgang til systemet. Kort efter forsøgte de at installere avanceret malware fra den russiskstøttede RomCom-gruppe. Kombinationen af RomCom og SocGholish er ikke observeret før.

RomComs ondsindede kode aktiveres kun, når den identificerer et specifikt mål. På denne måde kan snævert målrettede angreb skjules inden for brede globale kampagner. Det, der på overfladen kan synes at være masseangreb, er i praksis angreb mod omhyggeligt udvalgte organisationer med specifikke forbindelser til Ukraine.

Hændelsen, der danner grundlag for analysen, påvirkede en amerikansk teknologivirksomhed, der tidligere havde samarbejdet med en by med tætte bånd til Ukraine. Hændelsen illustrerer en klar tendens, hvor russisk trusselsaktører retter sig mod organisationer, der direkte eller indirekte arbejder til støtte for Ukraine. Dette gør truslen også yderst relevant for Norden, hvor mange virksomheder, myndigheder og nonprofitorganisationer har ydet aktiv bistand siden 2022.

Russiske cyberangreb ændrer trusselsbilledet i Norden

Ifølge Petter Glenstrup Dette er et tydeligt eksempel på, hvordan nutidens cybertrusler ikke har nogen geografiske grænser. De samme værktøjer og tilgange anvendes i både økonomisk motiveret cyberkriminalitet og statsstøttede angreb. Trusselaktørerne opererer på et fælles marked på trods af helt forskellige mål, hvilket gør trusselslandskabet mere komplekst og vanskeligt at forudsige.

SocGholish er også stærkt forbundet med ransomware. Hackergruppen bag metoden, kaldet TA569, fungerer som en digital mellemmand, der videresælger adgang til kompromitterede systemer til andre cyberkriminelle eller statsstøttede aktører. Mange angreb iværksættes opportunistisk uden umiddelbare konsekvenser, men bør altid ses som et advarselstegn på et potentielt mere alvorligt brud.

Enhver, der opdager et SocGholish-brud, bør handle, som om de er i de tidlige stadier af et ransomware-angreb. Hurtig handling kan begrænse spredningen og forhindre angrebet i at eskalere til et fuldskalabrud, ifølge Petter Glenstrup.

For mange organisationer betyder denne udvikling, at traditionelle sikkerhedsantagelser ikke længere er tilstrækkelige. Når legitime websteder bruges som distributionskanal for malware, udviskes grænsen mellem betroede og risikable miljøer, hvilket stiller større krav til både teknisk beskyttelse og løbende brugeruddannelse.

Tips til at beskytte dig mod falske opdateringer

Arktisk ulv anbefaler adskillige forebyggende foranstaltninger for at reducere risikoen for SocGholish og lignende angreb. Softwareopdateringer bør altid foretages via centrale og godkendte kanaler og aldrig via pop op-vinduer i browsere. Organisationer bør overvåge klienter for unormal netværksadfærd og automatiseret scriptudførelse. Det er også vigtigt at bruge moderne løsninger til slutpunktsbeskyttelse som kan opdage og stoppe forsøg på at installere skjult malware. Klare procedurer for, hvordan opdateringsmeddelelser skal håndteres, og løbende brugeruddannelse er afgørende for at reducere risikoen for succesfulde angreb.

Den fulde analyse kan læses på Arktisk ulv.