Як російський Fancy Bear APT використовував невиправлені маршрутизатори Cisco для злому державних установ США та ЄС

Перевидано Платоном

читають: 0

В останні роки кібератаки стають все більш витонченими та цілеспрямованими. Однією з таких атак, яка привернула увагу, є використання російською групою Fancy Bear APT (Advanced Persistent Threat) невиправлених маршрутизаторів Cisco для злому урядових установ США та ЄС.

Російська група Fancy Bear APT, також відома як APT28 або Sofacy, є державною хакерською групою, яку вважають пов’язаною з російською військовою розвідкою ГРУ. Угруповання активно працює принаймні з 2007 року та несе відповідальність за низку гучних кібератак, у тому числі за злом Національного комітету Демократичної партії (DNC) у 2016 році під час президентських виборів у США.

У 2018 році дослідники з фірми з кібербезпеки FireEye виявили, що група використовувала вразливість у маршрутизаторах Cisco, щоб отримати доступ до урядових установ у США та Європі. Уразливість, відома як CVE-2018-0171, дозволяла зловмисникам віддалено виконувати код на маршрутизаторі без автентифікації.

Уразливість вразила низку маршрутизаторів Cisco, включаючи популярні маршрутизатори серії ASR 9000 Aggregation Services. Cisco випустила патч для уразливості в травні 2018 року, але багато організацій не змогли застосувати патч, через що їхні маршрутизатори стали вразливими для атак.

Коли російська група Fancy Bear APT отримала доступ до маршрутизаторів, вони змогли використовувати їх як плацдарм для подальших атак на цільові організації. Група використовувала різноманітні методи, щоб уникнути виявлення, зокрема використання законних облікових даних, викрадених із скомпрометованих систем, і маскування своєї діяльності під звичайний мережевий трафік.

Атаки були цілеспрямованими та зосереджені на державних установах, які займаються зовнішньою політикою та національною безпекою. Групі вдалося викрасти конфіденційну інформацію, включаючи дипломатичні телеграми та військові плани.

Використання маршрутизаторів Cisco без виправлень підкреслює важливість підтримки програмного забезпечення в актуальному стані та своєчасного застосування виправлень безпеки. Це також підкреслює необхідність для організацій мати надійні засоби кібербезпеки, щоб виявляти атаки та реагувати на них.

У відповідь на атаки Cisco випустила пораду щодо безпеки, в якій закликала клієнтів застосувати виправлення для CVE-2018-0171 і впровадити додаткові заходи безпеки, такі як сегментація мережі та контроль доступу.

Використання російською групою Fancy Bear APT невиправлених маршрутизаторів Cisco є лише одним із прикладів зростаючої загрози з боку хакерських груп, які фінансуються державою. Оскільки ці групи стають все більш витонченими та цілеспрямованими у своїх атаках, важливо, щоб організації вжили заходів для захисту себе та своїх конфіденційних даних. Це включає в себе впровадження суворих заходів кібербезпеки, підтримку програмного забезпечення в актуальному стані та пильність щодо ознак потенційної атаки.