Rosyjscy cyberszpiedzy wykorzystują bliskość w innowacyjnym ataku na Wi-Fi

Rosyjska grupa cybernetycznego szpiegostwa przeniosła pomysłowość hakerską na niebezpieczny nowy poziom dzięki technice zwanej „Nearest Neighbor Attack”. Ta metoda, odkryta przez firmę cyberbezpieczeństwa Volexity, ujawnia, w jaki sposób grupy Advanced Persistent Threat (APT), takie jak APT28 (znane również jako Fancy Bear), rozwijają swoje taktyki, aby ominąć nawet solidne środki bezpieczeństwa.

W tym mrożącym krew w żyłach przypadku rosyjscy hakerzy zinfiltrowali sieć Wi-Fi ofiary nie poprzez jej bezpośrednie naruszenie, ale poprzez skompromitowanie organizacji znajdującej się po drugiej stronie ulicy. Incydent ten podkreśla rosnącą potrzebę czujności w odniesieniu do często pomijanych zagrożeń związanych z sieciami Wi-Fi.

Anatomia ataku

Atak rozpoczął się od klasycznej kampanii rozpylania haseł. Hakerzy zdobyli dane uwierzytelniające do usługi używanej przez ich główny cel, określany jako „Organizacja A”. Jednak ich początkowe wysiłki zostały udaremnione przez uwierzytelnianie wieloskładnikowe (MFA), uniemożliwiając im wykorzystanie tych danych uwierzytelniających.

Niezrażeni tym hakerzy przenieśli uwagę na pobliski budynek, w którym mieścił się podmiot drugorzędny, „Organizacja B”. Poprzez włamanie się do urządzenia w sieci Organizacji B, które miało zarówno przewodowe połączenie Ethernet, jak i aktywny adapter Wi-Fi, atakujący przedostali się do sieci Wi-Fi Organizacji A. Grupa cybernetycznego szpiegostwa nie zatrzymała się na tym: włamali się również do trzeciego podmiotu, „Organizacji C”, który zapewniał dodatkowe ścieżki łączności z Organizacją A.

Skradanie się i oszustwo: stosowanie technik życia z ziemi

Hakerzy skrupulatnie usuwali swoje ślady, wykorzystując natywne narzędzie Cipher.exe firmy Microsoft — legalne narzędzie, które zazwyczaj służy do bezpiecznego usuwania danych. To był pierwszy raz, kiedy Volexity zetknął się z nadużyciem Cipher.exe w taki sposób, co podkreśla innowacyjne podejście grupy.

Ponadto grupa w dużym stopniu polegała na technikach „życia z ziemi”, które obejmują wykorzystywanie wbudowanych narzędzi i legalnego oprogramowania w celu uniknięcia wykrycia. Takie metody znacznie utrudniają obrońcom przypisanie lub zidentyfikowanie złośliwej aktywności.

APT28: Znany gracz w cybernetycznym szpiegostwie

Chociaż wstępne dochodzenia pozostawiły Volexity w niepewności co do sprawców, późniejszy raport Microsoftu z 2024 r. potwierdził, że taktyka nosiła cechy charakterystyczne Forest Blizzard — grupy śledzonej również jako APT28, Fancy Bear lub Sofacy. APT28 to dobrze znana rosyjska jednostka cybernetycznego szpiegostwa z długą historią atakowania geopolitycznych przeciwników .

W tym przypadku atakujący chcieli uzyskać dostęp do poufnych danych dotyczących Ukrainy, ponieważ naruszenie bezpieczeństwa nastąpiło tuż przed inwazją Rosji na ten kraj w 2022 roku.

Nowy rodzaj ataku zbliżeniowego

To, co wyróżnia Nearest Neighbor Attack, to jego pomysłowość. Tradycyjne operacje bliskiego dostępu często wymagają, aby atakujący byli fizycznie blisko swoich celów, co zwiększa ryzyko narażenia. Jednak ta metoda wykorzystuje zainfekowane urządzenia w sąsiednich lokalizacjach, aby osiągnąć te same korzyści oparte na bliskości bez narażania fizycznej obecności.

„Ten atak w rzeczywistości sprowadza się do operacji bliskiego dostępu, ale ryzyko fizycznej identyfikacji lub zatrzymania zostało usunięte” – wyjaśnił Volexity. Podejście to pokazuje pomysłowość i determinację współczesnych grup APT.

Konsekwencje dla cyberbezpieczeństwa: ukryte zagrożenia sieci Wi-Fi

Nearest Neighbor Attack służy jako surowe przypomnienie, że sieci Wi-Fi często pozostają pomijaną luką w strategiach cyberbezpieczeństwa. Podczas gdy organizacje zainwestowały dużo w zabezpieczanie usług internetowych za pomocą MFA i innych środków, ta sama rygorystyczność nie została zastosowana do sieci Wi-Fi.

Aby bronić się przed podobnymi atakami, organizacje powinny:

• Przeprowadź dokładną ocenę bezpieczeństwa wszystkich sieci bezprzewodowych.
• Monitoruj nieautoryzowane urządzenia podłączone do sieci Wi-Fi.
• W miarę możliwości należy ograniczyć dostęp do kluczowych systemów za pośrednictwem połączeń Wi-Fi.
• Wprowadź silne szyfrowanie sieci Wi-Fi i regularnie aktualizuj dane dostępowe.
• Przeszkol pracowników w zakresie rozpoznawania i zgłaszania nietypowej aktywności w sieci.

Sygnał ostrzegawczy dla obrońców cyberbezpieczeństwa

The Nearest Neighbor Attack pokazuje, jak grupy cybernetycznego szpiegostwa, takie jak APT28, nadal wprowadzają innowacje, wykorzystując pomijane luki w celu osiągnięcia swoich celów. Ponieważ sieci Wi-Fi stają się integralną częścią nowoczesnych operacji, ich zabezpieczanie musi być traktowane z taką samą wagą, jak innych krytycznych systemów.

Ta sprawa powinna być sygnałem ostrzegawczym dla organizacji na całym świecie, aby przemyślały swoje podejście do bezpieczeństwa sieci bezprzewodowych. Zaawansowane zagrożenia wymagają zaawansowanych środków obrony, a koszt samozadowolenia może być o wiele za wysoki.