Hvordan Russian Fancy Bear APT brugte ikke-patchede Cisco-routere til at hacke amerikanske og EU-myndigheder

Genudgivet af Platon

Abonnenter: 0

In recent years, cyber attacks have become increasingly sophisticated and targeted. One such attack that has gained attention is the Russian Fancy Bear APT (Advanced Persistent Threat) group’s use of unpatched Cisco routers to hack into US and EU government agencies.

Den russiske Fancy Bear APT-gruppe, også kendt som APT28 eller Sofacy, er en statssponsoreret hackergruppe, der menes at være knyttet til det russiske militære efterretningsagentur, GRU. Gruppen har været aktiv siden mindst 2007 og har været ansvarlig for en række højprofilerede cyberangreb, herunder hacket i 2016 af Den Demokratiske Nationalkomité (DNC) under det amerikanske præsidentvalg.

I 2018 opdagede forskere fra cybersikkerhedsfirmaet FireEye, at gruppen havde brugt en sårbarhed i Cisco-routere for at få adgang til offentlige myndigheder i USA og Europa. Sårbarheden, kendt som CVE-2018-0171, tillod angribere at eksternt udføre kode på routeren uden godkendelse.

Sårbarheden påvirkede en række Cisco-routere, herunder de populære ASR 9000 Series Aggregation Services-routere. Cisco udgav en patch til sårbarheden i maj 2018, men mange organisationer undlod at anvende patchen, hvilket efterlod deres routere sårbare over for angreb.

Da den russiske Fancy Bear APT-gruppe fik adgang til routerne, var de i stand til at bruge dem som fodfæste til at iværksætte yderligere angreb på de målrettede organisationer. Gruppen brugte en række forskellige teknikker til at undgå opdagelse, herunder brug af legitime legitimationsoplysninger stjålet fra kompromitterede systemer og forklædning af deres aktivitet som normal netværkstrafik.

Angrebene var meget målrettede og fokuserede på regeringsorganer involveret i udenrigspolitik og national sikkerhed. Gruppen var i stand til at stjæle følsomme oplysninger, herunder diplomatiske kabler og militære planer.

Brugen af ikke-patchede Cisco-routere understreger vigtigheden af at holde software opdateret og anvende sikkerhedsrettelser rettidigt. Det understreger også behovet for, at organisationer har robuste cybersikkerhedsforanstaltninger på plads til at opdage og reagere på angreb.

Som svar på angrebene udsendte Cisco en sikkerhedsrådgivning, der opfordrede kunderne til at anvende patchen til CVE-2018-0171 og implementere yderligere sikkerhedsforanstaltninger, såsom netværkssegmentering og adgangskontrol.

The Russian Fancy Bear APT group’s use of unpatched Cisco routers is just one example of the growing threat posed by state-sponsored hacking groups. As these groups become more sophisticated and targeted in their attacks, it is essential that organizations take steps to protect themselves and their sensitive data. This includes implementing strong cybersecurity measures, keeping software up-to-date, and staying vigilant for signs of a potential attack.