Russiske cyberspioner udnytter nærhed i innovativt Wi-Fi-angreb

En russisk cyberspionagegruppe har taget hacking-opfindsomhed til et farligt nyt niveau med en teknik kaldet "Nearest Neighbor Attack". Denne metode, opdaget af cybersikkerhedsfirmaet Volexity, afslører, hvordan Advanced Persistent Threat (APT) grupper som APT28 (også kendt som Fancy Bear) udvikler deres taktik for at omgå selv robuste sikkerhedsforanstaltninger.

I denne skræmmende sag infiltrerede russiske hackere et offers Wi-Fi-netværk, ikke ved at bryde det direkte, men ved at kompromittere en organisation placeret på den anden side af gaden. Hændelsen fremhæver et stigende behov for årvågenhed med hensyn til de ofte oversete risici ved Wi-Fi-netværk.

Anatomien af angrebet

Angrebet begyndte med en klassisk adgangskode-spray-kampagne. Hackerne fik legitimationsoplysninger til en tjeneste, der blev brugt af deres primære mål, kaldet "Organisation A." Imidlertid blev deres indledende indsats forpurret af multi-faktor autentificering (MFA), hvilket forhindrede dem i at udnytte disse legitimationsoplysninger.

Ikke afskrækket flyttede hackerne fokus til en nærliggende bygning, der huser en sekundær enhed, "Organisation B." Ved at kompromittere en enhed i Organisation B's netværk, der både havde en kablet Ethernet-forbindelse og en aktiv Wi-Fi-adapter, slog angriberne deres vej ind i Organisation A's Wi-Fi-netværk. Cyberspionagegruppen stoppede ikke der: de kompromitterede også en tredje enhed, "Organisation C", som gav yderligere forbindelsesstier til organisation A.

Stealth and Deception: Brugen af at leve-off-the-Land-teknikker

Hackerne slettede omhyggeligt deres spor ved at udnytte Microsofts oprindelige Cipher.exe- værktøj – et legitimt værktøj, der typisk bruges til sikker sletning af data. Dette markerede første gang Volexity havde stødt på Cipher.exe misbrugt på en sådan måde, hvilket understregede gruppens innovative tilgang.

Derudover stolede gruppen i høj grad på "living-off-the-land"-teknikker, som involverer udnyttelse af indbyggede værktøjer og legitim software for at undgå opdagelse. Sådanne metoder gør det betydeligt sværere for forsvarere at tilskrive eller identificere ondsindet aktivitet.

APT28: En notorisk spiller i cyberspionage

Selvom de indledende undersøgelser gjorde Volexity usikker på gerningsmændene, bekræftede en efterfølgende rapport fra Microsoft i 2024, at taktikken bar kendetegnene for Forest Blizzard - en gruppe, der også spores som APT28, Fancy Bear eller Sofacy. APT28 er en velkendt russisk cyberspionageenhed med en lang historie med at målrette mod geopolitiske modstandere .

I dette tilfælde sigtede angriberne på at få adgang til følsomme data relateret til Ukraine, da bruddet skete kort før Ruslands 2022-invasion af landet.

En ny form for nærhedsangreb

Det, der adskiller Nearest Neighbour Attack, er dets opfindsomhed. Traditionelle operationer med tæt adgang kræver ofte, at angribere er fysisk i nærheden af deres mål, hvilket øger risikoen for eksponering. Denne metode udnytter imidlertid kompromitterede enheder på nærliggende steder for at opnå de samme nærhedsbaserede fordele uden at risikere fysisk tilstedeværelse.

"Dette angreb svarer effektivt til en tæt adgangsoperation, men risikoen for at blive fysisk identificeret eller tilbageholdt er blevet fjernet," forklarede Volexity. Tilgangen demonstrerer opfindsomheden og beslutsomheden hos moderne APT-grupper.

Implikationer for cybersikkerhed: De skjulte risici ved Wi-Fi-netværk

The Nearest Neighbour Attack tjener som en skarp påmindelse om, at Wi-Fi-netværk ofte forbliver en overset sårbarhed i cybersikkerhedsstrategier. Mens organisationer har investeret kraftigt i at sikre internet-vendte tjenester med MFA og andre foranstaltninger, er den samme strenghed ikke blevet anvendt på Wi-Fi-netværk.

For at forsvare sig mod lignende angreb bør organisationer:

• Udfør grundige sikkerhedsvurderinger af alle trådløse netværk.
• Overvåg for uautoriserede enheder forbundet til Wi-Fi-netværk.
• Begræns adgangen til kritiske systemer fra Wi-Fi-forbindelser, hvor det er muligt.
• Implementer stærk Wi-Fi-kryptering og opdater regelmæssigt adgangsoplysninger.
• Træn medarbejdere til at genkende og rapportere usædvanlig netværksaktivitet.

Et wake-up call for cyberforsvarere

The Nearest Neighbour Attack illustrerer, hvordan cyberspionagegrupper som APT28 fortsætter med at innovere og udnytter oversete sårbarheder i forfølgelsen af deres mål. Efterhånden som Wi-Fi-netværk bliver en integreret del af moderne drift, skal sikring af dem behandles med samme betydning som andre kritiske systemer.

Denne sag skal tjene som et wake-up call for organisationer verden over til at genoverveje deres tilgang til trådløs sikkerhed. Avancerede trusler kræver avanceret forsvar, og omkostningerne ved selvtilfredshed kan være alt for høje.