Hvordan Russian Fancy Bear APT brukte upatchede Cisco-rutere til å hacke amerikanske og EU-myndigheter

Publisert av Platon

Følgere: 0

De siste årene har cyberangrep blitt stadig mer sofistikerte og målrettede. Et slikt angrep som har fått oppmerksomhet er den russiske Fancy Bear APT (Advanced Persistent Threat)-gruppens bruk av upatchede Cisco-rutere for å hacke seg inn i amerikanske og EU-myndigheter.

Den russiske Fancy Bear APT-gruppen, også kjent som APT28 eller Sofacy, er en statsstøttet hackergruppe som antas å være knyttet til det russiske militære etterretningsbyrået, GRU. Gruppen har vært aktiv siden minst 2007 og har vært ansvarlig for en rekke høyprofilerte cyberangrep, inkludert hacket i 2016 av Den demokratiske nasjonale komiteen (DNC) under det amerikanske presidentvalget.

I 2018 oppdaget forskere fra cybersikkerhetsfirmaet FireEye at gruppen hadde brukt en sårbarhet i Cisco-rutere for å få tilgang til offentlige etater i USA og Europa. Sårbarheten, kjent som CVE-2018-0171, tillot angripere å eksternt kjøre kode på ruteren uten autentisering.

Sårbarheten påvirket en rekke Cisco-rutere, inkludert de populære ASR 9000 Series Aggregation Services-ruterne. Cisco ga ut en oppdatering for sårbarheten i mai 2018, men mange organisasjoner klarte ikke å bruke oppdateringen, noe som gjorde ruterne deres sårbare for angrep.

Når den russiske Fancy Bear APT-gruppen fikk tilgang til ruterne, kunne de bruke dem som et fotfeste for å sette i gang ytterligere angrep på de målrettede organisasjonene. Gruppen brukte en rekke teknikker for å unngå oppdagelse, inkludert bruk av legitim legitimasjon stjålet fra kompromitterte systemer og forkledd aktiviteten deres som vanlig nettverkstrafikk.

Angrepene var svært målrettede og fokuserte på offentlige etater involvert i utenrikspolitikk og nasjonal sikkerhet. Gruppen var i stand til å stjele sensitiv informasjon, inkludert diplomatiske kabler og militære planer.

Bruken av ikke-patchede Cisco-rutere fremhever viktigheten av å holde programvaren oppdatert og bruke sikkerhetsoppdateringer i tide. Det understreker også behovet for at organisasjoner har robuste cybersikkerhetstiltak på plass for å oppdage og svare på angrep.

Som svar på angrepene utstedte Cisco et sikkerhetsråd som oppfordret kunder til å bruke oppdateringen for CVE-2018-0171 og implementere ytterligere sikkerhetstiltak, som nettverkssegmentering og tilgangskontroller.

Den russiske Fancy Bear APT-gruppens bruk av upatchede Cisco-rutere er bare ett eksempel på den økende trusselen fra statsstøttede hackergrupper. Ettersom disse gruppene blir mer sofistikerte og målrettede i sine angrep, er det viktig at organisasjoner tar skritt for å beskytte seg selv og sine sensitive data. Dette inkluderer å implementere sterke cybersikkerhetstiltak, holde programvaren oppdatert og være årvåken for tegn på et potensielt angrep.