Hvordan Russian Fancy Bear APT brugte ikke-patchede Cisco-routere til at hacke amerikanske og EU-myndigheder

Genudgivet af Platon

Abonnenter: 0

I de senere år er cyberangreb blevet mere og mere sofistikerede og målrettede. Et sådant angreb, der har vundet opmærksomhed, er den russiske Fancy Bear APT (Advanced Persistent Threat)-gruppes brug af ikke-patchede Cisco-routere til at hacke sig ind i amerikanske og EU-regeringsorganer.

Den russiske Fancy Bear APT-gruppe, også kendt som APT28 eller Sofacy, er en statssponsoreret hackergruppe, der menes at være knyttet til det russiske militære efterretningsagentur, GRU. Gruppen har været aktiv siden mindst 2007 og har været ansvarlig for en række højprofilerede cyberangreb, herunder hacket i 2016 af Den Demokratiske Nationalkomité (DNC) under det amerikanske præsidentvalg.

I 2018 opdagede forskere fra cybersikkerhedsfirmaet FireEye, at gruppen havde brugt en sårbarhed i Cisco-routere for at få adgang til offentlige myndigheder i USA og Europa. Sårbarheden, kendt som CVE-2018-0171, tillod angribere at eksternt udføre kode på routeren uden godkendelse.

Sårbarheden påvirkede en række Cisco-routere, herunder de populære ASR 9000 Series Aggregation Services-routere. Cisco udgav en patch til sårbarheden i maj 2018, men mange organisationer undlod at anvende patchen, hvilket efterlod deres routere sårbare over for angreb.

Da den russiske Fancy Bear APT-gruppe fik adgang til routerne, var de i stand til at bruge dem som fodfæste til at iværksætte yderligere angreb på de målrettede organisationer. Gruppen brugte en række forskellige teknikker til at undgå opdagelse, herunder brug af legitime legitimationsoplysninger stjålet fra kompromitterede systemer og forklædning af deres aktivitet som normal netværkstrafik.

Angrebene var meget målrettede og fokuserede på regeringsorganer involveret i udenrigspolitik og national sikkerhed. Gruppen var i stand til at stjæle følsomme oplysninger, herunder diplomatiske kabler og militære planer.

Brugen af ikke-patchede Cisco-routere understreger vigtigheden af at holde software opdateret og anvende sikkerhedsrettelser rettidigt. Det understreger også behovet for, at organisationer har robuste cybersikkerhedsforanstaltninger på plads til at opdage og reagere på angreb.

Som svar på angrebene udsendte Cisco en sikkerhedsrådgivning, der opfordrede kunderne til at anvende patchen til CVE-2018-0171 og implementere yderligere sikkerhedsforanstaltninger, såsom netværkssegmentering og adgangskontrol.

Den russiske Fancy Bear APT-gruppes brug af ikke-patchede Cisco-routere er blot ét eksempel på den voksende trussel fra statssponsorerede hackergrupper. Efterhånden som disse grupper bliver mere sofistikerede og målrettede i deres angreb, er det vigtigt, at organisationer tager skridt til at beskytte sig selv og deres følsomme data. Dette inkluderer implementering af stærke cybersikkerhedsforanstaltninger, at holde software opdateret og være på vagt over for tegn på et potentielt angreb.