Hur Russian Fancy Bear APT använde opatchade Cisco-routrar för att hacka amerikanska och EU-myndigheter

Återutgiven av Platon

anhängare: 0

De senaste åren har cyberattacker blivit allt mer sofistikerade och målinriktade. En sådan attack som har fått uppmärksamhet är den ryska Fancy Bear APT (Advanced Persistent Threat)-gruppens användning av oparpade Cisco-routrar för att hacka sig in i amerikanska och EU:s statliga myndigheter.

Den ryska Fancy Bear APT-gruppen, även känd som APT28 eller Sofacy, är en statligt sponsrad hackargrupp som tros vara kopplad till den ryska militära underrättelsetjänsten GRU. Gruppen har varit aktiv sedan åtminstone 2007 och har varit ansvarig för ett antal högprofilerade cyberattacker, inklusive hacket 2016 av Democratic National Committee (DNC) under det amerikanska presidentvalet.

Under 2018 upptäckte forskare från cybersäkerhetsföretaget FireEye att gruppen hade använt en sårbarhet i Cisco-routrar för att få tillgång till statliga myndigheter i USA och Europa. Sårbarheten, känd som CVE-2018-0171, gjorde det möjligt för angripare att fjärrexekvera kod på routern utan autentisering.

Sårbarheten påverkade ett antal Cisco-routrar, inklusive de populära ASR 9000 Series Aggregation Services-routrarna. Cisco släppte en patch för sårbarheten i maj 2018, men många organisationer misslyckades med att tillämpa patchen, vilket gjorde att deras routrar var sårbara för attacker.

När den ryska Fancy Bear APT-gruppen fick tillgång till routrarna kunde de använda dem som ett fotfäste för att starta ytterligare attacker mot de riktade organisationerna. Gruppen använde en mängd olika tekniker för att undvika upptäckt, inklusive att använda legitima referenser som stulits från komprometterade system och att maskera deras aktivitet som normal nätverkstrafik.

Attackerna var mycket riktade och fokuserade på statliga myndigheter som är involverade i utrikespolitik och nationell säkerhet. Gruppen kunde stjäla känslig information, inklusive diplomatiska kablar och militära planer.

Användningen av oparpade Cisco-routrar understryker vikten av att hålla programvaran uppdaterad och tillämpa säkerhetskorrigeringar i tid. Det understryker också behovet för organisationer att ha robusta cybersäkerhetsåtgärder på plats för att upptäcka och svara på attacker.

Som svar på attackerna utfärdade Cisco en säkerhetsrådgivning där kunderna uppmanades att tillämpa patchen för CVE-2018-0171 och att implementera ytterligare säkerhetsåtgärder, såsom nätverkssegmentering och åtkomstkontroller.

Den ryska Fancy Bear APT-gruppens användning av oparpade Cisco-routrar är bara ett exempel på det växande hotet från statligt sponsrade hackergrupper. När dessa grupper blir mer sofistikerade och målinriktade i sina attacker är det viktigt att organisationer vidtar åtgärder för att skydda sig själva och sin känsliga data. Detta inkluderar att implementera kraftfulla cybersäkerhetsåtgärder, hålla programvaran uppdaterad och vara vaksam för tecken på en potentiell attack.