Русия продължава своята кампания от хибридни атаки срещу Европа.
На фона на вълната от бомбени заплахи срещу цивилни полети от миналата седмица и редица други диверсии през последните месеци, доклад на френската компания за киберсигурност Sekoia разкрива как български сайт, свързан с армията ни, е бил използван за атаки срещу мобилни телефони у нас.
Според данните атаките са извършени до средата на миналия месец и почти сигурно са свързани с руската хакерска група APT29, известна и като Cozy Bear.
Какво са установили от Sekoia
Хакерите са се насочили към доверени уебсайтове, включително български, за да заразяват телефоните на конкретни посетители.
При отваряне на страницата зловреден код автоматично е проверявал модела на устройството и версията на браузъра и ако потребителят отговаря на търсения профил и софтуерът му не е обновен, сайтът се опитва да инсталира зловреден софтуер напълно незабележимо и без да е необходимо посетителят да изтегля файл или отваря линкове. Атаката се осъществява автоматично.
Веднъж попаднал в телефона на жертвата си, вирусът извлича съобщения, запазени пароли, данни за местоположение и снимки. При устройствата с Android са събирани данни от Chrome и пароли за безжични мрежи. Зловредният софтуер не се установява трайно на телефона, което обаче не означава, че атаката не оставя следи.
Според Sekoia всички анализирани варианти използват известни уязвимости, за които вече са били публикувани софтуерни обновления. Атаките са действали срещу устройства с неинсталирани актуализации и не са сработвали на напълно обновени мобилни операционни системи.
Кой е засегнат
Атаката не е била насочена само срещу България. Сред засегнатите сайтове са тези на украинска газова компания, американска индустриална асоциация и европейска политическа партия.
Компрометиран е и инструментът за уеб статистика Plerdy, използван от хиляди сайтове, предимно украински.
Между 27 август и 3 септември чрез него стотици фирми са били изложени на атаки, включително и компании, които са свързани с украинската армия и военнопромишлен комплекс
Кои са Cozy Bear или APT29
Според британските и американските служби за сигурност групата е тясно свързана с руското военно разузнаване. През годините се изявявала и с други имена - CozyDuke, Dark Halo, The Dukes, Midnight Blizzard, NOBELIUM, Office Monkeys, StellarParticle, UNC2452.
Това е една от най-известните и дълго действащи руски хакерски мрежи, като се смята, че в миналото е имала отговорност за мащабни операции срещу структури на западни правителства и политически партии.
Сред най-известните операции, приписвани на групата, е атаката срещу SolarWinds през 2020 г., при която зловреден код в софтуерни актуализации е използван за проникване в мрежите на повече от американски държавни институции и компании. През същата година групата е свързана и с атаки срещу организации, разработващи ваксини срещу COVID-19.
По-широката хибридна кампания срещу Европа
През последните седмици европейските служби предупреждават за ръст на саботажи, хакерски атаки, палежи и операции срещу критична инфраструктура.
От началото на месеца над 20 цивилни полета в Европа получиха фалшиви бомбени заплахи. Самолети бяха отклонявани или ескортирани от изтребители, а сред засегнатите летища бяха тези в Лондон, Рим, Прага, Виена, Варшава и София. За последната вълна от заплахи в края на миналата седмица отговорност пое руската екстремистка организация "Мъжка държава".
Паралелно с това през октомври в Полша и България бяха извършени палежи срещу наземна инфраструктура на сталеитната система Starlink. Варшава обвини руските специални служби, че стоят зад саботажа на полска територия.
Подобен случай бе разкрит и в Румъния.
На 26 октомври румънското разузнаване съобщи, че е установило мрежа за саботаж, координирана от Русия, която стои зад пожар в индустриален обект в Брашов, непосредствено до предприятие на държавния оръжеен концерн ROMARM.
Досега властите в Дания, Полша, Румъния, Германия и Великобритания отправили директни обвинения към Русия за диверсии и саботажи.
