Hvordan Russian Fancy Bear APT brukte upatchede Cisco-rutere til å hacke amerikanske og EU-myndigheter

Publisert av Platon

Følgere: 0

In recent years, cyber attacks have become increasingly sophisticated and targeted. One such attack that has gained attention is the Russian Fancy Bear APT (Advanced Persistent Threat) group’s use of unpatched Cisco routers to hack into US and EU government agencies.

Den russiske Fancy Bear APT-gruppen, også kjent som APT28 eller Sofacy, er en statsstøttet hackergruppe som antas å være knyttet til det russiske militære etterretningsbyrået, GRU. Gruppen har vært aktiv siden minst 2007 og har vært ansvarlig for en rekke høyprofilerte cyberangrep, inkludert hacket i 2016 av Den demokratiske nasjonale komiteen (DNC) under det amerikanske presidentvalget.

I 2018 oppdaget forskere fra cybersikkerhetsfirmaet FireEye at gruppen hadde brukt en sårbarhet i Cisco-rutere for å få tilgang til offentlige etater i USA og Europa. Sårbarheten, kjent som CVE-2018-0171, tillot angripere å eksternt kjøre kode på ruteren uten autentisering.

Sårbarheten påvirket en rekke Cisco-rutere, inkludert de populære ASR 9000 Series Aggregation Services-ruterne. Cisco ga ut en oppdatering for sårbarheten i mai 2018, men mange organisasjoner klarte ikke å bruke oppdateringen, noe som gjorde ruterne deres sårbare for angrep.

Når den russiske Fancy Bear APT-gruppen fikk tilgang til ruterne, kunne de bruke dem som et fotfeste for å sette i gang ytterligere angrep på de målrettede organisasjonene. Gruppen brukte en rekke teknikker for å unngå oppdagelse, inkludert bruk av legitim legitimasjon stjålet fra kompromitterte systemer og forkledd aktiviteten deres som vanlig nettverkstrafikk.

Angrepene var svært målrettede og fokuserte på offentlige etater involvert i utenrikspolitikk og nasjonal sikkerhet. Gruppen var i stand til å stjele sensitiv informasjon, inkludert diplomatiske kabler og militære planer.

Bruken av ikke-patchede Cisco-rutere fremhever viktigheten av å holde programvaren oppdatert og bruke sikkerhetsoppdateringer i tide. Det understreker også behovet for at organisasjoner har robuste cybersikkerhetstiltak på plass for å oppdage og svare på angrep.

Som svar på angrepene utstedte Cisco et sikkerhetsråd som oppfordret kunder til å bruke oppdateringen for CVE-2018-0171 og implementere ytterligere sikkerhetstiltak, som nettverkssegmentering og tilgangskontroller.

The Russian Fancy Bear APT group’s use of unpatched Cisco routers is just one example of the growing threat posed by state-sponsored hacking groups. As these groups become more sophisticated and targeted in their attacks, it is essential that organizations take steps to protect themselves and their sensitive data. This includes implementing strong cybersecurity measures, keeping software up-to-date, and staying vigilant for signs of a potential attack.