Ataki hakerskie sponsorowane przez państwo: jakie są zaawansowane trwałe zagrożenia i kogo były celem w 2022 r.?
W 2022 roku nastąpił wyraźny wzrost cyberataków sponsorowanych przez rządy. Wiele z tych ataków zostało przeprowadzonych przez tzw. zaawansowane trwałe zagrożenia (ang. Advanced Persistent Threats, APT). Grupy te współpracują z rządami i mogą również prowadzić nielegalne działania nastawione na zysk.
W 2022 roku zagraniczne podmioty atakowały inne zagraniczne podmioty w atakach DDoS, operacjach szpiegowskich, atakach ransomware i naruszeniach infrastruktury krytycznej. Ataki te zapoczątkowały poważne zakłócenia w łańcuchu dostaw, spowodowały straty w wysokości miliardów dolarów i zgromadziły ogromne ilości informacji w ramach operacji szpiegowskich.
Patrząc na to, z czym świat może się zmierzyć w 2023 r., oto 5 niszczycielskich ataków APT, które miały miejsce w 2022 r.:
Table of Contents
Chiński APT 41/Double Dragon kradnie 20 milionów dolarów z funduszy pomocy COVID
W 2022 roku jeden z najbardziej szokujących ataków APT przeprowadziła grupa znana jako APT 41 lub Double Dragon . Tej grupie udało się ukraść fundusze pomocowe COVID o wartości około 20 milionów dolarów z wielu krajów w Azji i Afryce. Celem ataku były w szczególności banki, agencje rządowe i inne organizacje, które rozdzielały pieniądze na pomoc humanitarną podczas pandemii. Uważa się, że skradzione pieniądze zostały wyprane za pośrednictwem portfeli kryptowalut, co utrudnia ich śledzenie i odzyskanie.
W oświadczeniu Secret Service wskazano, że działająca od ponad dekady APT41 jest uważana za sponsorowaną przez państwo chińską grupę cyberzagrożeń, wysoce biegłą w wykonywaniu misji szpiegowskich i przestępstw finansowych dla osobistych korzyści. Cybereksperci oraz obecni i byli urzędnicy z wielu agencji zidentyfikowali APT41 jako „koń pociągowy” operacji cyberszpiegowskich przynoszących korzyści chińskiemu rządowi. Gdy w 2020 roku fundusze pomocowe COVID stały się celem możliwości, zagrożenie to stało się bardziej aktualne niż kiedykolwiek.
Irański Rampant Kitten/APT DEV-0270 narusza amerykańską Radę Ochrony Systemów Merit
W listopadzie amerykańska Agencja ds. Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) oraz Federalne Biuro Śledcze (FBI) wydały wspólny poradnik dotyczący cyberbezpieczeństwa dotyczący irańskich zaawansowanych i trwałych zagrożeń (APT). Aktor o nazwie Rampant Kitten wykorzystał dobrze znaną lukę w zabezpieczeniach Log4Shell do infiltracji serwera VMware Horizon w lutym.
Doprowadziło to do włamania do sieci federalnej należącej do amerykańskiej Merit Systems Protection Board. W odpowiedzi CISA ostrzegła wszystkie organizacje, które nie zastosowały środków zaradczych Log4Shell, przed potencjalnymi oznakami naruszenia bezpieczeństwa. The Washington Post zidentyfikował agencję, której dotyczy problem, jako amerykańską Radę Ochrony Systemów Merit. Ataki tego typu podkreślają potrzebę ciągłej czujności i proaktywnych wysiłków ze strony firm i rządów w celu ochrony infrastruktury krytycznej.
Północnokoreańska kryptowaluta Lazarus Group/APT38 Target
W kwietniu wspólny poradnik dotyczący bezpieczeństwa cybernetycznego (CSA) wydany przez Federalne Biuro Śledcze (FBI), Agencję ds. Koreańska, sponsorowana przez państwo grupa zaawansowanych trwałych zagrożeń (APT), znana jako Lazarus Group, APT38, BlueNoroff i Stardust Chollima.
Od co najmniej 2020 roku grupa ta atakuje organizacje z branży technologii blockchain i kryptowalut, takie jak giełdy kryptowalut, protokoły DeFi, gry wideo oparte na kryptowalutach typu „play-to-earn”, fundusze venture capital inwestujące w kryptowaluty lub osoby posiadające duże ilości cyfrowej waluty lub wartościowe NFT.
Atakujący wykorzystują socjotechnikę za pośrednictwem różnych platform komunikacyjnych, aby przekonać ofiary do pobrania aplikacji do obsługi kryptowalut. Pozwala im to uzyskać dostęp do komputera ofiary, rozprzestrzeniać złośliwe oprogramowanie i kraść klucze prywatne lub wykorzystywać inne luki w zabezpieczeniach do inicjowania oszukańczych transakcji blockchain.
Irański APT MuddyWater/APT 34 celuje w sektor publiczny/prywatny w Azji, Afryce, Europie i Ameryce Północnej
W kwietniu 2022 r. sponsorowane przez rząd ataki cybernetyczne przeprowadzone przez irańską grupę MuddyWater/APT 34 ds. zaawansowanych trwałych zagrożeń wymierzone były w szereg organizacji rządowych i sektora prywatnego w wielu sektorach w Azji, Afryce, Europie i Ameryce Północnej w ramach irańskiego Ministerstwa Wywiadu i Bezpieczeństwa (MOIS).
Następnie, we wrześniu 2020 r., rząd federalny USA nałożył sankcje na rząd irański za wspieranie działań cyberprzestępczych, które, jak twierdzą, są prowadzone za pośrednictwem kilku grup zaawansowanego trwałego zagrożenia (APT).
W szczególności Biuro Kontroli Aktywów Zagranicznych (OFAC) Departamentu Skarbu USA określiło irańskie Ministerstwo Wywiadu i Bezpieczeństwa (MOIS) jako „zaangażowane w działania cybernetyczne przeciwko Stanom Zjednoczonym i ich sojusznikom” od co najmniej 2007 roku.
Rosyjscy aktorzy APT Wykonawcy obrony docelowej
Od co najmniej stycznia 2020 r. do lutego 2022 r. Federalne Biuro Śledcze USA (FBI), Agencja Bezpieczeństwa Narodowego (NSA) oraz Agencja Bezpieczeństwa Cyberbezpieczeństwa i Infrastruktury (CISA) zidentyfikowały regularny wzorzec cyberataków na Stany Zjednoczone zatwierdzonych kontrahentów obronnych (CDC) pochodzących od rosyjskich podmiotów sponsorowanych przez państwo .
Ataki te wykorzystywały powszechne, ale skuteczne taktyki, takie jak spear phishing, zbieranie danych uwierzytelniających, techniki brutalnej siły/rozpylania haseł oraz wykorzystywanie znanych luk w słabo zabezpieczonych kontach i sieciach. Atakujący zaatakowali również środowiska Microsoft 365 (M365) z trwałością utrzymywaną przy użyciu legalnych poświadczeń i złośliwego oprogramowania do eksfiltracji danych.
Powyższe ataki spowodowały poważne zakłócenia i miliardy dolarów szkód na całym świecie. Przeprowadzano je zarówno z powodów geopolitycznych, jak i dla korzyści finansowych. Oczywiste jest, że APT pozostaną zagrożeniem przez wiele lat i należy zająć się nimi proaktywnie, aby dalsze szkody mogły zostać zminimalizowane przez podmioty zarówno w sektorze publicznym, jak i prywatnym.
