Russiske cyberspioner utnytter nærhet i innovativt Wi-Fi-angrep

En russisk nettspionasjegruppe har tatt hackingoppfinnsomhet til et farlig nytt nivå med en teknikk kalt «Nærmeste naboangrep». Denne metoden, oppdaget av nettsikkerhetsfirmaet Volexity, avslører hvordan Advanced Persistent Threat (APT)-grupper som APT28 (også kjent som Fancy Bear) utvikler taktikken sin for å omgå selv robuste sikkerhetstiltak.

I dette skremmende tilfellet infiltrerte russiske hackere et offers Wi-Fi-nettverk, ikke ved å bryte det direkte, men ved å kompromittere en organisasjon som ligger rett over gaten. Hendelsen fremhever et økende behov for årvåkenhet angående de ofte oversett risikoene ved Wi-Fi-nettverk.

Anatomien til angrepet

Angrepet begynte med en klassisk passord-spraykampanje. Hackerne fikk legitimasjon for en tjeneste brukt av deres primære mål, referert til som "Organisasjon A." Imidlertid ble deres første innsats hindret av multi-faktor autentisering (MFA), og hindret dem i å utnytte disse legitimasjonene.

Ikke avskrekket, flyttet hackerne fokus til en bygning i nærheten som huser en sekundær enhet, "Organisasjon B." Ved å kompromittere en enhet i Organisasjon Bs nettverk som hadde både en kablet Ethernet-tilkobling og en aktiv Wi-Fi-adapter, slo angriperne seg inn i Organisasjon A sitt Wi-Fi-nettverk. Nettspionasjegruppen stoppet ikke der: de kompromitterte også en tredje enhet, "Organisasjon C", som ga ytterligere tilkoblingsveier til organisasjon A.

Stealth and Deception: Bruken av å leve-av-landet-teknikker

Hackerne slettet sporene sine omhyggelig ved å utnytte Microsofts opprinnelige Cipher.exe- verktøy – et legitimt verktøy som vanligvis brukes til sikker sletting av data. Dette markerte første gang Volexity hadde støtt på Cipher.exe misbrukt på en slik måte, noe som understreket gruppens innovative tilnærming.

I tillegg stolte gruppen sterkt på "living-off-the-land"-teknikker, som involverer å utnytte innebygde verktøy og legitim programvare for å unngå oppdagelse. Slike metoder gjør det betydelig vanskeligere for forsvarere å tilskrive eller identifisere ondsinnet aktivitet.

APT28: En beryktet spiller innen nettspionasje

Selv om innledende undersøkelser gjorde Volexity usikker på gjerningsmennene, bekreftet en påfølgende rapport fra Microsoft i 2024 at taktikken bar kjennetegnene til Forest Blizzard - en gruppe som også spores som APT28, Fancy Bear eller Sofacy. APT28 er en velkjent russisk nettspionasjeenhet med en lang historie med målretting mot geopolitiske motstandere .

I dette tilfellet hadde angriperne som mål å få tilgang til sensitive data relatert til Ukraina, ettersom bruddet skjedde kort tid før Russlands invasjon av landet i 2022.

En ny type nærhetsangrep

Det som skiller Nearest Neighbour Attack er dets oppfinnsomhet. Tradisjonelle nærtilgangsoperasjoner krever ofte at angripere er fysisk i nærheten av målene sine, noe som øker risikoen for eksponering. Imidlertid utnytter denne metoden kompromitterte enheter på nærliggende steder for å oppnå de samme nærhetsbaserte fordelene uten å risikere fysisk tilstedeværelse.

"Dette angrepet utgjør i praksis en nær tilgangsoperasjon, men risikoen for å bli fysisk identifisert eller internert er fjernet," forklarte Volexity. Tilnærmingen demonstrerer oppfinnsomheten og besluttsomheten til moderne APT-grupper.

Implikasjoner for cybersikkerhet: De skjulte risikoene ved Wi-Fi-nettverk

The Nearest Neighbour Attack tjener som en sterk påminnelse om at Wi-Fi-nettverk ofte forblir en oversett sårbarhet i nettsikkerhetsstrategier. Mens organisasjoner har investert tungt i å sikre internettvendte tjenester med MFA og andre tiltak, har den samme strengheten ikke blitt brukt på Wi-Fi-nettverk.

For å forsvare seg mot lignende angrep, bør organisasjoner:

• Gjennomfør grundige sikkerhetsvurderinger av alle trådløse nettverk.
• Overvåk for uautoriserte enheter koblet til Wi-Fi-nettverk.
• Begrens tilgang til kritiske systemer fra Wi-Fi-tilkoblinger der det er mulig.
• Implementer sterk Wi-Fi-kryptering og oppdater regelmessig tilgangslegitimasjon.
• Lær ansatte til å gjenkjenne og rapportere uvanlig nettverksaktivitet.

En vekker for cyberforsvarere

The Nearest Neighbour Attack illustrerer hvordan cyberspionasjegrupper som APT28 fortsetter å innovere, og utnytter oversett sårbarheter i jakten på sine mål. Ettersom Wi-Fi-nettverk blir en integrert del av moderne drift, må sikring av dem behandles med samme viktighet som andre kritiske systemer.

Denne saken bør tjene som en vekker for organisasjoner over hele verden til å revurdere sin tilnærming til trådløs sikkerhet. Avanserte trusler krever avansert forsvar, og kostnadene ved selvtilfredshet kan være alt for høye.