Analyysi Venäjän kyberhyökkäyksistä Ukrainaa tukevia länsimaisia yrityksiä vastaan

Venäjän kyberhyökkäykset Ukrainaa tukevia länsimaisia yrityksiä vastaan ovat laajenemassa, kun uhkatoimijat hyödyntävät väärennettyjä selainpäivityksiä levittääkseen edistyneitä haittaohjelmia. Uusi analyysi osoittaa, kuinka valtioiden tukemat hyökkäykset sulautuvat perinteiseen kyberrikollisuuteen, mikä luo yhä monimutkaisemman uhkakuvan jopa pohjoismaisille organisaatioille.

Venäläinen hakkeriryhmä hyödyntää väärennettyjä selainpäivityksiä levittääkseen haittaohjelmia Ukrainaa tukeviin maihin. Tämä osoittaa, kuinka kyberrikollisuudesta on tullut rajat ylittävää ja kuinka samoja tekniikoita käytetään sekä valtion tukemissa hyökkäyksissä että kiristysohjelmakampanjoissa.

venäjä kyberhyökkäykset on noussut yhdeksi merkittävimmistä kyberturvallisuusuhkista yrityksille ja organisaatioille Euroopassa ja Pohjoismaissa.

Venäjään kytköksissä olevat hakkeriryhmät hyödyntävät laillisia ja usein luotettuja verkkosivustoja levittääkseen edistyneitä haittaohjelmia länsimaisille yrityksille, jotka tekevät yhteistyötä Ukrainan kanssa tai auttavat sitä. Kyberturvallisuusyrityksen tuore analyysi... Arktinen susi huomauttaa, että osia Venäjän sotilastiedustelupalvelu GRU:sta on todennäköisesti iskujen takana.

Analyysi osoittaa, että hyökkäykset ovat uusi muunnelma tunnetusta SocGholish-menetelmästä. Hyökkäys perustuu haitallisen koodin istuttamiseen verkkosivustoille, joissa kävijöitä huijataan uskomaan, että heidän selaimensa on päivitettävä. Kun käyttäjä napsauttaa päivitystä, hyökkääjille annetaan mahdollisuus ottaa seuraava askel hyökkäysketjussa. Tämä tarkoittaa, että jopa tietoturvatietoiset käyttäjät voivat tietämättään aloittaa vakavia tunkeutumisia.

Väärennettyjen päivitysten hyödyntäminen on vakiintunut tekniikka kyberrikollisten keskuudessa. Uutta tässä tapauksessa on se, että hyökkääjät voidaan yhdistää Venäjään ja että he kohdistavat hyökkäyksensä tiettyihin länsimaisiin organisaatioihin, jotka tukevat Ukrainaa eri tavoin, sanoo Petter Glenstrup, Arctic Wolfin pohjoismainen johtaja.

Analyysi kuvaa tapausta, jossa työntekijä napsautti väärennettyä selainpäivitystä tartunnan saaneella verkkosivustolla. Ponnahdusikkuna vaikutti lailliselta, mutta aktivoi haittaohjelman, joka antoi hyökkääjille välittömästi pääsyn järjestelmään. Pian sen jälkeen he yrittivät asentaa edistynyttä haittaohjelmaa Venäjän tukemalta RomCom-ryhmältä. RomComin ja SocGholishin yhdistelmää ei ole aiemmin havaittu.

RomComin haitallinen koodi aktivoituu vain, kun se tunnistaa tietyn kohteen. Tällä tavoin tarkasti kohdennetut hyökkäykset voidaan piilottaa laajojen maailmanlaajuisten kampanjoiden sisään. Se, mikä saattaa näyttää pinnalta joukkohyökkäyksiltä, on käytännössä hyökkäyksiä huolellisesti valittuja organisaatioita vastaan, joilla on erityisiä yhteyksiä Ukrainaan.

Analyysin perustana oleva tapaus vaikutti amerikkalaiseen teknologiayritykseen, joka oli aiemmin tehnyt yhteistyötä Ukrainaan läheisesti kytköksissä olevan kaupungin kanssa. Tapaus kuvaa selkeää trendiä, jossa Venäjä uhkatoimijat kohdistuu organisaatioihin, jotka suoraan tai epäsuorasti tukevat Ukrainaa. Tämä tekee uhasta erittäin merkittävän myös Pohjoismaissa, joissa monet yritykset, viranomaiset ja voittoa tavoittelemattomat järjestöt ovat antaneet aktiivista apua vuodesta 2022 lähtien.

Venäläiset kyberhyökkäykset muuttavat uhkakuvaa Pohjoismaissa

Mukaan Petter Glenstrup Tämä on selkeä esimerkki siitä, miten nykyajan kyberuhilla ei ole maantieteellisiä rajoja. Sama käytetyt työkalut ja lähestymistavat Sekä taloudellisesti motivoituneissa kyberrikollisuuksissa että valtioiden tukemissa hyökkäyksissä. Uhkatoimijat toimivat yhteisillä markkinoilla täysin erilaisista tavoitteista huolimatta, mikä tekee uhkakuvasta monimutkaisemman ja vaikeammin ennustettavan.

SocGholish yhdistetään myös vahvasti kiristysohjelmiin. Menetelmän takana oleva hakkeriryhmä nimeltä TA569 toimii digitaalisena välikätenä ja myy pääsyä vaarantuneisiin järjestelmiin muille kyberrikollisille tai valtion tukemille toimijoille. Monet hyökkäykset käynnistetään opportunistisesti ilman välittömiä seurauksia, mutta niitä tulisi aina pitää varoitusmerkkinä mahdollisesti vakavammasta tietomurrosta.

Jokaisen, joka havaitsee SocGholish-tietomurron, tulisi toimia ikään kuin olisi kiristysohjelmahyökkäyksen alkuvaiheessa. Petter Glenstrupin mukaan nopea toiminta voi rajoittaa leviämistä ja estää hyökkäyksen laajenemisen täysimittaiseksi tietomurroksi.

Monille organisaatioille tämä kehitys tarkoittaa, että perinteiset turvallisuusoletukset eivät enää riitä. Kun laillisia verkkosivustoja käytetään haittaohjelmien jakelukanavana, luotettavien ja riskialttiiden ympäristöjen välinen raja hämärtyy, mikä asettaa suurempia vaatimuksia sekä tekniselle suojaukselle että jatkuvalle käyttäjien koulutukselle.

Vinkkejä suojautumiseen väärennetyiltä päivityksiltä

Arktinen susi suosittelee useita ennaltaehkäiseviä toimenpiteitä SocGholishin ja vastaavien hyökkäysten riskin vähentämiseksi. Ohjelmistopäivitykset tulisi aina tehdä keskitettyjen ja hyväksyttyjen kanavien kautta eikä koskaan selaimen ponnahdusikkunoiden kautta. Organisaatioiden tulisi valvoa asiakkaita poikkeavan verkkokäyttäytymisen ja automaattisen komentosarjojen suorittamisen varalta. On myös tärkeää käyttää nykyaikaisia ratkaisuja päätepisteiden suojaus joka voi havaita ja estää piilotettujen haittaohjelmien asennusyritykset. Selkeät menettelytavat päivitysilmoitusten käsittelylle ja jatkuva käyttäjien koulutus ovat ratkaisevan tärkeitä onnistuneiden hyökkäysten riskin vähentämiseksi.

Koko analyysi on luettavissa osoitteessa Arktinen susi.