ロシアが発足してから 2 月に壊滅的な大規模なウクライナ侵略を行った後、隣国に対して長い間繰り広げてきたサイバー戦争も新しい時代に突入しました。残忍で物理的な地上戦の。 現在、サイバーセキュリティ アナリストと第一対応者のチームの調査結果によると、少なくとも 1 つのロシアの諜報機関が新しい一連のサイバー戦戦術に落ち着いているようです。数か月、時にはウクライナのネットワークへのステルス アクセスを維持しながら、可能な限り多くのコンピューターを破壊することさえありました。
本日、バージニア州アーリントンで開催された CyberwarCon セキュリティ カンファレンスで、セキュリティ会社 Mandiant のアナリストが、ロシアの GRU 軍事情報機関がウクライナの標的に対して使用している新しいツールと技術のセットを発表しました。史上最も攻撃的で破壊的なサイバー攻撃の多くを排除します。 Mandiant のアナリストである Gabby Roncone と John Wolfram によると、彼らの調査結果は Mandiant の数か月にわたるウクライナのインシデント対応事例に基づいているとのことで、GRU は特に彼らが「エッジでの生活」と呼んでいるものに移行しました。 GRU ハッカーが過去に被害者の資格情報を盗んだり、標的の組織内の無意識のユーザーのコンピューターにバックドアを仕掛けたりするために通常使用していたフィッシング攻撃の代わりに、ファイアウォール、ルーター、電子メール サーバーなどの「エッジ」デバイスを標的にしています。より迅速なアクセスを可能にするマシンの脆弱性。
Roncone と Wolfram によると、この移行は GRU に複数の利点をもたらしました。 これにより、ロシア軍のハッカーは、以前の数か月に比べて、はるかに迅速かつ即時の影響を与えることができ、時には標的ネットワークに侵入し、ネットワーク上の他のマシンへのアクセスを拡大し、わずか数週間後にデータを破壊するワイパー マルウェアを展開しました。 場合によっては、ワイパー攻撃とサイバースパイ活動の両方のために、ハッカーがウクライナの同じ少数の標的グループにすばやく連続して侵入することを可能にしました. また、これらのネットワーク内で GRU に足がかりを与えるエッジ デバイスは、政府機関のサイバー攻撃で必ずしも消去されるとは限らないため、それらをハッキングすることで、データ破壊操作を実行した後でも、GRU が被害者のネットワークへのアクセスを維持できる場合があります。
「戦略的に、GRUは破壊的な出来事とスパイ活動のバランスをとる必要があります」と、彼女とWolframのCyberwarConの講演に先立ち、ロンコーネはWIREDに語った. 「彼らはすべてのドメインに苦痛を与え続けたいと思っていますが、彼らは軍事情報機関でもあり、より多くのリアルタイム情報を収集し続けなければなりません。そのため、彼らは標的ネットワークの「端に住み」始めて、この一定の準備を整えるようになりました。妨害とスパイの両方のために、これらのペースの速い作戦にアクセスして有効にしました。」
プレゼンテーションに含まれるタイムラインで、ロンコーネとウォルフラムは、ロシアが今年の初めからウクライナで実行した 19 件以上の破壊的なサイバー攻撃を指摘し、国のエネルギー、メディア、通信、金融業界全体を標的にしています。政府機関。 しかし、その持続的なサイバー戦争の集中砲火の中で、Mandiant のアナリストは、GRU がエッジ デバイスのハッキングに重点を置いていることで、新しいテンポと戦術が可能になったという侵入の 4 つの明確な例を指摘しています。
ある例では、GRU ハッカーは、ProxyShell として知られる Microsoft Exchange サーバーの脆弱性を悪用して、1 月にターゲット ネットワークに足場を築き、翌月、戦争が始まったばかりの時点で、その組織をワイパーで攻撃しました。 別のケースでは、GRU の侵入者は、2021 年 4 月に組織のファイアウォールを侵害することでアクセスを取得しました。2 月に戦争が始まったとき、ハッカーはそのアクセスを使用して、被害者のネットワークのマシンにワイパー攻撃を開始し、ファイアウォールを介してアクセスを維持しました。彼らが立ち上げることを許可した 別 組織に対するワイパー攻撃は、わずか 1 か月後に発生しました。 2021 年 6 月、Mandiant は、GRU が 2 月にすでにワイパー攻撃を受けていた組織に戻ってきたことを確認しました。盗まれた認証情報を悪用して Zimbra メール サーバーにログインし、明らかにスパイ活動を行っていたようです。 そして昨年の春、ハッカーは GRE トンネリングと呼ばれる技術を使って組織のルーターを標的にし、そのネットワークにステルスなバックドアを作成しました。これは、戦争の開始時にそのネットワークをワイパー マルウェアで攻撃してからわずか数か月後のことです。