Российская армия снова взломала домашние и офисные маршрутизаторы в рамках широкомасштабных операций, которые направляют неосведомлённых пользователей на сайты, собирающие пароли и токены аутентификации для использования в шпионских кампаниях, заявили исследователи во вторник.
По оценкам, 18 000 до 40 000 потребительских маршрутизаторов, в основном производства МикроТик и ТП-Линк, расположенных в 120 странах, были вовлечены в инфраструктуру, принадлежащую группе АПТ28, продвинутой угрозе, являющейся частью российского военного разведывательного агентства, известного как ГРУ, заявили исследователи из Лумен Технолоджис и лаборатории Блэк Лотус. Эта группа угроз действует уже не менее двух десятилетий и стоит за десятками высокопрофильных взломов, нацеленных на правительства по всему миру. АПТ28 также отслеживается под именами, включая Пон Сторм, Софаси Групп, Седнит, Цар Тим, Форест Близзард и СТРОНЦИЙ.
Техническая изощрённость, проверенные методы
Небольшое количество маршрутизаторов использовалось в качестве прокси для подключения к гораздо большему количеству других маршрутизаторов, принадлежащих иностранным министерствам, правоохранительным органам и государственным агентствам, на которые АПТ28 хотела шпионить. Затем группа использовала свой контроль над маршрутизаторами для изменения ДНС-запросов для выбранных веб-сайтов, включая, по заявлению Майкрософт, домены для сервиса компании 365.
«Известная тем, что сочетает передовые инструменты, такие как большая языковая модель (ЛЛМ) «ЛАМЕХАГ», с проверенными, устоявшимися методами, Форест Близзард последовательно эволюционирует свои тактики, чтобы оставаться впереди защитников», — написали исследователи Блэк Лотус. «Их предыдущие и текущие кампании подчёркивают как их технологическую изощрённость, так и их готовность пересматривать классические методы атак даже после публичного раскрытия, подчёркивая постоянный риск, исходящий от этого актора для организаций по всему миру».
Чтобы захватить маршрутизаторы, атакующие использовали устаревшие модели, которые не были исправлены против известных уязвимостей безопасности. Затем они изменили настройки ДНС для выбранных доменов и использовали протокол Динамической конфигурации хостов, чтобы распространить их на рабочие станции, подключенные к маршрутизатору. Когда устройства, подключенные к этим маршрутизаторам, посещали выбранные домены, их соединения проксились через вредоносные серверы, прежде чем достичь своего намеченного пункта назначения.